Газар зүйн DNS ба anycast: таны авах VPN оролтыг шалгах

Газар зүйн DNS болон anycast нь оролтын цэгүүдийг өөр дүрмээр сонгодог. Хариулт аль резолверыг илэрхийлж байгааг, дараа нь зангилаа солигдоход сесс үргэлжлэх эсэхийг шалгана уу.

Ойролцоох DNS хариулт нь холболт өөр газар буух хүртэл шийдэгдсэн асуудал мэт санагддаг. Газар зүйн DNS болон anycast хоёулаа замыг богиносгохыг хичээдэг бөгөөд энэ шийдвэрийг өөр өөр мэдээлэлд үндэслэн гаргадаг. Хүрэх гарц нь хүртээмжтэй эсэх, таны клиент хүлээж буй таних тэмдгийг илэрхийлж байгаа эсэх, зангилаа солигдоход таны сесс үргэлжлэх эсэхийг аль нь ч баталгаажуулдаггүй. Доорх шалгалтууд эдгээр дөрвөн асуултыг тусгаарладаг.

Резолвер үнэндээ хэний байршлыг мэдээлж байгааг шалгана уу

Топологид мэдрэмтгий асуултад хариулж буй эрх бүхий сервер нь ихэвчлэн асуусан рекурсив резолверын хаягийг хардаг, нэрийг бичсэн хүний хаягийг биш. Төвлөрсөн резолвер нь үйлчилж буй клиентүүдээсээ хол байж болох бөгөөд хариулт нь тэднийг биш резолверыг илэрхийлдэг. Энэ нь алдаа биш; нэмэлт мэдээлэл өгөхгүй л бол протокол ингэж ажилладаг. EDNS Client Subnet тодорхойлолт нь хязгаарлалт болон сонголтоор хийх засварыг хоёуланг нь тайлбарладаг.

Оролцогч бүр дэмжиж, идэвхжүүлсэн тохиолдолд EDNS Client Subnet нь гарал үүслийн сүлжээний мэдээллийг дамжуулж чадна. Энэ нь сонголтоор хийгддэг, нууцлал болон кэшлэлтийн үр дагавартай бөгөөд аль ч нийтийн резолвер хэрэглэгчийн байршлыг нарийн мэдээлдэг гэж үзэх зөвшөөрөл биш юм. Үүн дээр тулгуурлан зохион байгуулахаас өмнө резолверын операторуудаас асуугаарай.

dig +short vpn.example.com @1.1.1.1
dig +short vpn.example.com @9.9.9.9
dig +subnet=203.0.113.0/24 +short vpn.example.com

anycast чиглүүлэлт юу шийдсэнийг шалгана уу

anycast-д хэд хэдэн байршил нэг үйлчилгээний хаягийн хүртээмжийг зарладаг бөгөөд сүлжээ нь клиент бүрийг чиглүүлэлт нь илүүд үзсэн зангилаа руу хүргэдэг. Энэ сонголтыг газрын зургийн зай биш, BGP болон түүний эргэн тойрны бодлого гаргадаг. Топологийн ойролцоо байдал нь ерөнхийдөө илүү сайн тойргийн гүйцэтгэлтэй тэнцэхгүй, учир нь богино харагдах зам нь гацалттай эсвэл тэгш бус байж болно. Танд өгсөн хаяг нь аль зангилаа хариулсныг юу ч хэлэхгүй.

Үйлчилж буй байршлыг зөвхөн DNS хариултаас биш, үйлчилгээний талаас эсвэл үүнийг нэрлэсэн хариултаас баталгаажуулна уу. traceroute -n 198.51.100.20 таны явсан замыг харуулдаг бөгөөд түүний төгсгөлд байгаа хостыг нэрлэдэггүй тул үүнийг хариулт биш зам гэж уншина уу.

Сесс зангилаа солигдоход үргэлжлэх эсэхийг шалгана уу

DNS асуулт богино, VPN сесс урт бөгөөд хоёр нь огт өөр төлөвийн шаардлагатай. Чиглүүлэлт сессийн дунд өөрчлөгдөж болох бөгөөд тэгвэл дараагийн пакетууд таны туннелийг хэзээ ч хараагүй зангилаа руу хүрч болно. Энэ нь давагдахуйц эсэх нь хэрэгжүүлэлтээс хамаарна: хуваалцсан төлөв, санаатай дахин холболт эсвэл баримтжуулсан алдаа. Зөвхөн хаяг нь эдгээрийн аль нэгийг ч өгдөггүй.

Өөрчлөлтийг таамаглахын оронд ажиглана уу. Зам өөрчлөгдөхөд sudo tcpdump -ni any -c 20 esp гадаад пакетуудыг харуулдаг бөгөөд хөршид байгаа хаягийн гэнэтийн өөрчлөлт нь болж буй шилжилт юм. Өөрийн ажиллуулж буй хэрэгжүүлэлтийн зорилтот зан төлөвийг тодорхой тодорхойлж, дараа нь замын өөрчлөлтийг албадан туршина уу. Хэрэв загвар нь сессийн репликацийг тооцдог бол механизмыг нэрлэж, түүний хамрахгүй алдааг нэрлэнэ үү.

Таних тэмдэг одоо ч таарч байгаа эсэхийг шалгана уу

Оролтын цэг бүр таны клиентийн профайл хүлээж буй таних тэмдгийг илэрхийлэх ёстой. Үйлчилгээний нэрээр олгосон сертификат нь зангилаануудын хооронд ажилладаг бол зангилаа тус бүрийн сертификатууд клиентийг шинэ зүйлийг хүлээн зөвшөөрөхийг албаддаг бөгөөд хэрэглэгчид анхааруулгыг үл тоомсорлож дарахыг сурдаг нь яг эндээс эхэлдэг. Хүлээгдэж буй таних тэмдэг болон профайлыг оролтын загвартай нийцүүлэн хадгална уу.

Үүнийг ер бусын зангилаанд хүрсэн клиентээс шалгана уу, учир нь зангилаа тус бүрийн сертификат харагдах тохиолдол нь энэ юм. openssl s_client -connect vpn.example.com:443 -servername vpn.example.com гинжин хэлхээ болон нэрсийг хэвлэдэг бөгөөд клиент харьцуулдаг зүйл нь яг үүнтэй ижил юм. Дараа нь профайлыг нарийсгах эсвэл сертификатын загварыг өөрчлөх эсэхийг шийднэ үү.

Зөвхөн эхний хариулт биш, бүртгэлийг шалгана уу

Гурван сценарийг үнэлж, тус бүрт дөрвөн баримт бичнэ үү: хэвийн оролт, нэг байршил боломжгүй, тохиролцсон сэргээх тохиолдол. Дөрвөн баримт нь ашигласан резолвер, буцаасан хаяг, үйлчилсэн байршил, шинэ програмын үр дүн юм. Энэ бүртгэл нь DNS сонголтын асуудлыг гарцын асуудал, чиглүүлэлтийн асуудал эсвэл сессийн төлөвийн асуудлаас тусгаарладаг. Үүнгүйгээр дөрөв нь клиентээс ижил харагдана.

dig +short vpn.example.com
getent hosts vpn.example.com
curl -s -o /dev/null -w "%{http_code}
" https://vpn.example.com/health

Сценариудыг зөвхөн оффисоос биш, төлөөлөх хандалтын сүлжээнээс ажиллуулна уу, учир нь бүх асуулт нь өөр өөр клиентүүд аль оролтын цэгт үнэхээр хүрдэг тухай юм. Нэг сүлжээ бол нэгийн дээж.

Холбоотой нийтлэлүүд