Приватно DNS име или само IP? Одлучете пред да го споделите

Две прашања се мешаат кога приватна услуга се отвора за далечински корисници. Првото е кое име треба да го користат клиентите; второто е кои извори треба да ги прифати услугата. Одговорете ги по тој редослед, бидејќи точно име зад погрешно правило за пристап сѐ уште не успева, а точно правило зад име што не се разрешува никогаш не се тестира.

Прв услов: каква патека на резолвер имаат клиентите?

Приватното име работи само ако резолверот на клиентот може да одговори на него. Тоа значи дека овластен далечински клиент мора да стигне до DNS сервер што ја држи зоната, или преку тунелот или преку резолвер што организацијата веќе го води за далечински корисници. Тунелот е транспорт, не именик. Тој му дава на клиентот патека до резолвер и не му кажува која зона да ја праша.

resolvectl query files.corp.example
dig @10.20.30.10 +short files.corp.example

Јавен резолвер нема да научи приватна зона затоа што преносникот се поврзал на VPN.

Наставката заслужува исто внимание. Користете поддомен на домен што организацијата го контролира, за да останат сопственоста и планирањето сертификати јасни. Избегнувајте .local: спецификацијата за multicast DNS ја врзува таа наставка за link-local разрешување, а рутиран тунел не го репродуцира тоа однесување за вас.

Втор услов: кој извор го прима услугата?

Правилата за пристап се пишуваат спрема адреси, па корисното прашање е која адреса услугата ја гледа по рутирањето и преводот. За пример услуга на 10.20.30.40, канцелариските клиенти доаѓаат од 10.20.30.0/24, а далечинските клиенти од одделен базен како 10.99.0.0/24.

Ако порта го преведува далечинскиот базен, услугата го гледа преведувачот, и правило напишано за 10.99.0.0/24 нема да се совпадне.

Читајте го ова од страната на услугата, а не од страната на клиентот. Дневник на слушач или фаќање пакети на домаќинот на услугата го покажува изворот што навистина пристигнал; сопствената адреса на клиентот е само претпоставка за тоа што го преживеало патот.

Трет услов: дали името е врзано за услуга или за домаќин?

Име што покажува на адресата на една машина го врзува секој клиент за таа машина. Име што покажува на балансер на оптоварување или стабилна адреса на услуга го преживува заменувањето на домаќинот зад него. Изберете свесно, бидејќи менувањето подоцна значи менување на обележувачите на секој клиент и субјектот на секој сертификат.

За една внатрешна услуга директен запис обично е во ред и полесно се размислува за него.

За сѐ што ќе биде заменето, обновено или скалирано, стабилен преден дел вреди за дополнителната конфигурација. Тестот е едноставен: ако можете да го замените задниот дел без да им кажете на корисниците, името е врзано за услугата; ако не можете, врзано е за домаќин.

Тестирајте ги двете одлуки одделно

Прво разрешете, потоа поврзете се. Тест за разрешување што ја враќа очекуваната адреса го докажува патот на името и не кажува ништо за пристапот. Тест за врска ги докажува патот и правилото заедно, па извршете го само по успешно разрешување.

curl -sv --max-time 5 https://files.corp.example/health

Потоа еднаш тестирајте забранет извор и запишете го резултатот.

Држете ги двата записи одделно во вашата документација: името и неговата зона, прифатените извори и сопственикот на правилото. Кога едното се менува, другото не мора.

Каде одлуката обично оди наопаку

Честа грешка е услуга објавена под име што се разрешува само на канцелариската мрежа, со правило за пристап што го прифаќа само канцеларискиот опсег. Тогаш далечинските корисници пријавуваат расипана услуга што всушност е два одделни пропуста. Втората честа грешка е обратната: широко правило за пристап додадено за да исчезне проблем со име ја остава услугата достапна од извори што никој не ги имал намера. И двете се пропусти во конфигурацијата, и од столот на корисникот изгледаат исто.

Ниту една грешка не е видлива од еден успешен тест. Затоа двете одлуки заслужуваат одделни записи и одделни тестови, дури и кога ги носи истиот човек.

Запишете ги двете пред услугата да почне да работи, бидејќи следната промена ќе биде полесна за размислување. Записот е краток: еден ред за името и неговата зона, еден ред за прифатените извори и сопственикот на правилото.