VPN galapunktu atļauto saraksts: aizmirstais DNS atjauninājums

vpn.example.com ievadīšana ugunsmūra izņēmumā šķiet kā DNS abonēšana. Parasti notiek tulkošana ielādes laikā, pēc tam noteikums glabā adreses un nekas tās neatjaunina. Tagad divas komponentes dala darbu: atbildošais risinātājs un glabājošais ugunsmūris. Lielākā daļa galapunktu pārtraukumu sākas tur, kur šī nodošana nekad netika projektēta.

Resursdatora vārds noteikumā nav dzīva abonēšana

Daži rīki atrisina vārdu, kad ielādējas konfigurācija; citi patur resursdatora vārdu un atrisina to no jauna pēc sava grafika; vēl citi pieņem tikai adreses. Redzamā konfigurācija reti norāda, kurš gadījums ir. Dokumentācijas piemēri parasti pieņem ielādes gadījumu, tāpēc migrācijas laikā šī atšķirība pārsteidz cilvēkus. Izlasiet ieviešanas uzvedību pirms pieņemat, ka adreses maiņa tiks pamanīta, jo novecojis atļauto saraksts izskatās tieši tāpat kā strādājošs līdz galapunkts pārvietojas.

Noteikums, kas nosauc pareizo resursdatoru, joprojām var atļaut nepareizo adresi. Šī plaisa ir mīts, nevis pareizrakstības kļūda.

Kešatmiņas TTL nav jūsu ugunsmūra taimeris

DNS ierakstiem ir dzīves laiks, un risinātāji šajā periodā kešatmiņā glabā atbildes. DNS specifikācija definē šo kešatmiņas uzvedību, bet tā regulē DNS datus, nevis atsevišķu ugunsmūra adrešu krātuvi. Īss TTL nerada atjaunināšanas darbu tur, kur tā nav. Kešošana notiek arī vairāk nekā vienā slānī, tāpēc termināļa redzamā atbilde var nebūt tā, ko redzēja ugunsmūris.

Uzdodiet īstajam produktam trīs jautājumus: kad tas atrisina, kur glabā rezultātu un kas izraisa atjauninājumu. Ja atbilde ir tikai palaišanas laikā, ilga sesija var pārdzīvot adresi, uz kuru tā tika uzņemta.

dig +short vpn.example.com
resolvectl query vpn.example.com

Projektējiet atjaunināšanu un kļūmi kā vienu politiku

Uzturētam izņēmumam vajadzīgas skaidras atbildes: kas izraisa atjauninājumu pirms klients izvēlas jaunu adresi, kā atļautā kopa mainās, neatverot plašu pagaidu logu, un kad tiek dzēsti novecojuši ieraksti. Pierakstiet šīs atbildes blakus noteikumam.

Kļūmes uzvedību izvēlieties apzināti. Vecās adreses paturēšana var saglabāt sesiju un atstāt novecojušu atļauju; kopas notīrīšana var kavēt atjaunošanu. Nevienam no tiem nevajadzētu būt nejaušam neveiksmīga meklējuma rezultātam. Pierakstiet izvēlēto uzvedību runbook, lai nākamais operators nespekulētu spiediena apstākļos.

Saglabājiet šauru arī sāknēšanas DNS. Beznosacījumu publiskā risinātāja izņēmums ir tiešs DNS ceļš visam, kam tas atbilst, ne tikai galapunkta vārdam.

Pierādiet galapunkta maiņu, nevis pirmo savienojumu

Izmantojiet klienta atbalstīto pārvaldnieku, ja tas jau koordinē atrisināšanu un bloķēšanu. Vietnes pārvaldītā PF resursdatorā saglabājiet vietnes īpašumtiesības un atjaunošanas plānu, nevis kopējiet resursdatoru vārdu tabulas sintaksi no citas platformas ar atšķirīgu dzīves cikla uzvedību.

Ar apstiprinātu, nekaitīgu testu salīdziniet klienta izvēlēto adresi ar aktīvo atļauto kopu pirms kontrolētas izmaiņas un pēc tās. Aptveriet neizdevušos meklējumu, vairs nederīga ieraksta dzēšanu un, kur atbalstīts, citu adrešu saimi. Paredzētajam tunelim vajadzētu atjaunoties, bet nesaistītai tiešai plūsmai palikt politikas ietvaros. Veiksmīgs pirmais savienojums pierāda tikai to, ka sākotnējais tulkojums nejauši bija pareizs.