Зошто SRV записот помага само на клиент што сам го бара

Додавањето SRV запис во вашата зона не учи ниту еден VPN клиент да го бара. Клиентот мора да ја знае ознаката, да одлучи да го испрати барањето и да дејствува според тоа што се враќа, а DNS не може да ги обезбеди првите две. Затоа повеќето неуспешни SRV планови се клиентски проблеми во DNS костум. Прво прочитајте го однесувањето на клиентот при откривање, потоа објавете само ознаката што тој навистина ја бара.

Запис што никој не го бара не може никому да помогне

SRV ја објавува локацијата на услуга; тој не ја најавува. Ништо не турка запис кон клиентот, и ниту еден решавач не нуди име што никогаш не било побарано. Пребарувањето започнува кога апликацијата ќе одлучи да го изврши, затоа ознаката мора да дојде од документацијата на производот или од набљудување на софтверот на мрежата. Каде клиентот нема чекор за откривање, записот ја менува зоната и ништо друго.

Затоа еден производ на мрежа може да почне да работи додека друг не е засегнат од истата промена. Променливата е софтверот, а DNS серверот го прави точно она што му е кажано. Прочитајте ја зоната повторно по уредувањето, бидејќи погрешно внесената ознака лесно се крие меѓу записи што сите изгледаат исто.

Прочитајте ги полињата пред да ги напишете

Записот носи четири вредности и секоја одговара на различно прашање: приоритетот ги подредува целите што клиентот може да ги проба, тежината го дели товарот меѓу цели со ист приоритет, портата ја именува транспортната порта, а целта го именува домаќинот. Спецификацијата дозволува и цел . да значи дека услугата намерно е недостапна, што е корисен одговор, а не расипан.

Ниту едно од тие полиња не носи акредитиви, политика за сертификати или верзија на апликацијата, а клиент што ја игнорира тежината сепак се поврзува, само без предвидената рамнотежа. Целта треба да има свои адресни записи и треба да биде канонско име, а не псевдоним. Објавувањето запис што покажува на домаќин без слушател создава грешка при поврзување што се чита како DNS дефект, а тоа е најскапиот вид наведување. Објавете го целиот синџир или ништо од него.

Најдете ја ознаката што клиентот навистина ја испраќа

Утврдете ја ознаката врз основа на докази, а не на претпоставка за името на производот. Или документацијата го наведува името на услугата, или снимката го покажува барањето што излегува од клиентот при стартување. И двете патеки завршуваат на исто место: точно име и тип за тестирање против решавачот.

dig +short SRV _vpn._tcp.gw.example
dig +short A edge2.gw.example
tcpdump -ni any udp port 53

Споредете го одговорот со записот што сте го објавиле, знак по знак, бидејќи долните црти и точката на крајот се дел од името. Празен одговор на барање што навистина било испратено покажува на зоната, додека целосното отсуство на барање покажува на клиентот, и тие наоди ве носат кај различни тимови. Вистинскиот одговор изгледа како редот подолу, каде приоритетот 20 губи од секој запис со понизок приоритет и клиентот го бира портата 8443 на наведената цел.

_vpn._tcp.gw.example. 600 IN SRV 20 10 8443 edge2.gw.example.

Целта исто така мора да постои

Цел што се решава не е исто што и услуга што одговара. Проверете ги адресните записи за целта, потоа проверете дали нешто слуша на објавената порта и протокол. TCP запис што покажува на слушател само за UDP е несовпаѓање што никакво уредување на зоната не го поправа. Држете го TTL кратко додека целта е променлива, и продолжете го кога името ќе престане да се движи.

Клиентите што навистина го спроведуваат откривањето се разликуваат по тоа колку од записот почитуваат. Некои користат само приоритет, некои ја третираат тежината како совет, а неколку ја игнорираат портата и претпоставуваат стандардна вредност. Тие разлики припаѓаат во вашите белешки покрај ознаката, бидејќи објаснуваат однесување што инаку изгледа како дефект на решавачот.

Откривањето не е автентикација

SRV одговорот кажува каде да се поврзете, и не кажува ништо за тоа кому да му верувате кога ќе пристигнете. Оставете ја проверката на сертификатот и проверките за идентитет на серверот кај клиентот точно какви што беа, бидејќи запис што некој друг може да го фалсификува не треба да стане одлука за доверба. DNS одговорите може да се кешираат и да ги уредува секој што ја контролира зоната, што ги прави лошо место за кодирање политика.

За клиент без поддршка за откривање, дистрибуирајте го профилот или URL-то на портата што го прифаќа, и запишете кој производ кој метод го користи. Таа белешка го спречува следниот администратор да додаде запис и да очекува дека ќе работи насекаде. Спецификацијата SRV го опишува изборот меѓу цели, а нејзиното читање како механизам за авторизација е патот на кој корисен запис станува безбедносна претпоставка. Објавувајте намерно, наведете ја ознаката во вашата документација и третирајте го клиентот како компонента што одлучува дали нешто од тоа има значење.