Две VPN, еден resolver: победува тој што пишувал последен

Поврзани се два VPN клиента, еден за работа и еден за лабораториска мрежа, а внатрешните имиња се решаваат само за клиентот што се поврзал последен. Оваа шема изгледа како грешка во еден од клиентите. Обично е предвидлив резултат на две програми што ја пишуваат истата конфигурација на resolver без договор за тоа чие е кое име.

Мит: најновиот VPN го поседува DNS

Нема општо правило дека победува најновото поврзување. Што се случува зависи од механизмот на платформата и од тоа како секој клиент го пишува. Клиент што заменува датотека на resolver дава еден резултат; клиент што додава домен за секое поврзување дава друг; клиент што не прави ништо ја остава претходната состојба недопрена.

Значи забележаното однесување е својство на двете имплементации, а не документиран приоритет. Размислувањето само од редоследот на стартување понекогаш ќе биде точно, а понекогаш погрешно на начини што тешко се повторуваат. Наместо тоа, запишете го мапирањето. Дизајн што живее во два клиента не е дизајн.

Мапирајте ги именските простори на resolver-и

Наведете ги приватните наставки и resolver-от што го бара секоја мрежа, потоа одлучете каде треба да одат јавните имиња. Тој список е дизајнот. Без него, клиентите ја носат одлуката случајно.

Платформа што поддржува DNS по поврзување или домени за рутирање може намерно да ја изрази поделбата: еден домен оди на едно поврзување, друг домен на другото, а сѐ друго следи експлицитна стандардна вредност. Две рамни скрипти што ја препишуваат истата датотека не можат да го зачуваат тој дизајн, бидејќи секоја верува дека ја поседува целата конфигурација.

Во Windows, табелата со политика за решавање имиња може да насочува наставки кон конкретни сервери, а VPN клиент може да инсталира правила таму. Проверете ја политиката, а не списокот со адаптери, бидејќи името не го решава списокот со адаптери.

Задржете патека за подигање

Секој клиент мора да ја најде својата крајна точка пред да може да ја користи услугата што таа точка ја нуди. Ако името на домаќинот на крајната точка може да се реши само преку тунелот, а тунелот го бара решеното име на домаќинот, имате циклична зависност што се појавува како истек на врската. Задржете една патека за подигање надвор од двата тунели. Таа не чини ништо сѐ до денот кога ќе ја спаси врската.

Гледајте ја патеката до секој resolver, не само името конфигурирано за него. Resolver што е достапен само преку другиот тунел се однесува како да недостасува, а симптомот е истек на време, а не грешка во рутирањето.

Преклопените адреси не се DNS проблем

Две приватни мрежи што го користат истиот опсег на адреси не можат да се поправат со редослед на DNS. Ако двата тунели бараат 10.0.0.0/8, име што се решава правилно сѐ уште покажува на адреса до која домаќинот не може да го рутира правилниот тунел. Тоа бара решение на ниво на адреса, како различни опсези, именски простор или превод, а не уште една поставка на resolver. Ранoто одлучување за ова спречува долг заобиколен пат низ DNS конфигурација што никогаш немало да работи.

Споредете ги доделувањата на адреси на двата тунели пред да го обвинувате решавањето имиња. Кога двете страни го туркаат истиот префикс, домаќинот држи една рута за него, а име решено преку вториот тунел сѐ уште слетува на адреса што ја поседува првиот тунел. Различни опсези, именски простор по мрежа или превод се поправките; откако секој клиент ќе се поврзе, потврдете дека табелата со рути ја покажува патеката што сте ја намениле.

Докажете го со вистински апликации

Изберете два домаќини што постојат само во својот именски простор и едно јавно име, потоа решете го секое преку клиентот што треба да го поседува. Точен одговор од очекуваниот resolver не докажува дека апликацијата стигнува до домаќинот, бидејќи патеката до таа адреса сѐ уште може да не успее. По секое пребарување направете тест на врската од програмата што корисникот навистина ќе ја изврши.

Клиент со сопствена опција за шифриран DNS може да ја заобиколи политиката што штотуку ја проверивте, затоа проверете ја таа поставка како дел од прегледот. Потоа повторно поврзете ги двата клиента по редоследот што го поддржува добавувачот и повторете ги пребарувањата; ако одговорите се заменат кога редоследот се менува, конкурентен запишувач сѐ уште поседува дел од конфигурацијата. Откријте која компонента го инсталира правилото - клиентот, профилот на оперативниот систем или агент за управување - пред да уредите нешто. Запишете ги редоследот и сопствениците за следната личност да не мора повторно да ги открива.