Kāpēc SRV ieraksts palīdz tikai klientam, kas pats to pieprasa

SRV ieraksta pievienošana jūsu zonai nemāca nevienam VPN klientam to meklēt. Klientam jāzina etiķete, jāizlemj nosūtīt vaicājumu un jārīkojas atbilstoši tam, kas atgriežas, un DNS nevar nodrošināt pirmos divus. Tāpēc lielākā daļa neizdevušos SRV plānu ir klienta problēmas DNS kostīmā. Vispirms izlasiet klienta atklāšanas uzvedību, tad publicējiet tikai to etiķeti, ko tas patiešām pieprasa.

Ieraksts, ko neviens nepieprasa, nevar palīdzēt nevienam

SRV publicē pakalpojuma atrašanās vietu; tas to neizziņo. Nekas nestumj ierakstu pretī klientam, un neviens atrisinātājs nepiedāvā vārdu, kas nekad nav ticis pieprasīts. Meklēšana sākas, kad lietotne nolemj to veikt, tāpēc etiķetei jānāk no produkta dokumentācijas vai no programmatūras novērošanas tīklā. Kur klientam nav atklāšanas soļa, ieraksts maina zonu un neko citu.

Tāpēc viens produkts tīklā var sākt darboties, kamēr otru tas pats mainījums neietekmē. Mainīgais ir programmatūra, un DNS serveris dara tieši to, kas tam teikts. Pēc rediģēšanas nolasiet zonu vēlreiz, jo nepareizi ievadīta etiķete viegli paslēpjas starp ierakstiem, kas visi izskatās vienādi.

Izlasiet laukus pirms to rakstīšanas

Ieraksts nes četras vērtības, un katra atbild uz citu jautājumu: prioritāte sakārto mērķus, ko klients var izmēģināt, svars sadala slodzi starp vienādas prioritātes mērķiem, ports nosauc transporta portu, un mērķis nosauc resursdatoru. Specifikācija arī atļauj mērķi . nozīmēt, ka pakalpojums apzināti nav pieejams, kas ir noderīga atbilde, nevis bojāta.

Neviens no šiem laukiem nesatur pieteikšanās datus, sertifikātu politiku vai lietotnes versiju, un klients, kas ignorē svaru, tomēr pievienojas, tikai bez paredzētā līdzsvara. Mērķim ir vajadzīgi savi adreses ieraksti, un tam jābūt kanoniskam vārdam, nevis aizstājvārdam. Publicējot ierakstu, kas norāda uz resursdatoru bez klausītāja, rodas savienojuma kļūda, kas lasās kā DNS kļūda, un tā ir visdārgākā maldināšanas forma. Publicējiet visu ķēdi vai neko no tās.

Atrodiet etiķeti, ko klients patiešām sūta

Nosakiet etiķeti, balstoties uz pierādījumiem, nevis minējumiem par produkta nosaukumu. Vai nu dokumentācija norāda pakalpojuma nosaukumu, vai arī ieraksts parāda vaicājumu, kas iziet no klienta startēšanas laikā. Abi ceļi beidzas vienā vietā: precīzs nosaukums un tips, ko pārbaudīt pret atrisinātāju.

dig +short SRV _vpn._tcp.gw.example
dig +short A edge2.gw.example
tcpdump -ni any udp port 53

Salīdziniet atbildi ar publicēto ierakstu burtu pa burtam, jo pasvītrojumi un punkts beigās ir daļa no nosaukuma. Tukša atbilde uz patiešām nosūtītu vaicājumu norāda uz zonu, bet pilnīga vaicājuma neesamība norāda uz klientu, un šie atradumi jūs aizved pie dažādām komandām. Īsta atbilde izskatās kā rinda zemāk, kur prioritāte 20 zaudē jebkuram zemākas prioritātes ierakstam un klients izsauc portu 8443 norādītajā mērķī.

_vpn._tcp.gw.example. 600 IN SRV 20 10 8443 edge2.gw.example.

Mērķim arī jāpastāv

Atrisināms mērķis nav tas pats, kas atbildošs pakalpojums. Pārbaudiet mērķa adreses ierakstus, pēc tam pārbaudiet, vai kaut kas klausās publicētajā portā un protokolā. TCP ieraksts, kas norāda uz klausītāju tikai UDP, ir neatbilstība, ko nekāda zonas rediģēšana nelabo. Turiet TTL īsu, kamēr mērķis ir kustīgs, un pagariniet to, kad nosaukums pārstāj kustēties.

Klienti, kas patiešām ievieš atklāšanu, atšķiras ar to, cik daudz no ieraksta tie ievēro. Daži izmanto tikai prioritāti, daži uzskata svaru par ieteikumu, un daži ignorē portu un pieņem noklusējuma vērtību. Šīs atšķirības pieder jūsu piezīmēs blakus etiķetei, jo tās izskaidro uzvedību, kas citādi izskatās kā atrisinātāja kļūda.

Atklāšana nav autentifikācija

SRV atbilde pasaka, kur pieslēgties, un tā neko nepasaka par to, kam uzticēties pēc ierašanās. Atstājiet klienta sertifikāta validāciju un servera identitātes pārbaudes tieši tādas, kādas tās bija, jo ieraksts, ko kāds cits var viltot, nedrīkst kļūt par uzticēšanās lēmumu. DNS atbildes var kešot un rediģēt ikviens, kas kontrolē zonu, tāpēc tās ir slikta vieta politikas kodēšanai.

Klientam bez atklāšanas atbalsta izplatiet profilu vai vārtejas URL, ko tas pieņem, un pierakstiet, kurš produkts izmanto kuru metodi. Šī piezīme neļauj nākamajam administratoram pievienot ierakstu un gaidīt, ka tas darbosies visur. SRV specifikācija apraksta mērķu izvēli, un tās lasīšana kā autorizācijas mehānisma ir ceļš, kā noderīgs ieraksts kļūst par drošības pieņēmumu. Publicējiet apzināti, nosauciet etiķeti savā dokumentācijā un izturieties pret klientu kā pret komponenti, kas izlemj, vai tam visam ir nozīme.