Яагаад SRV бичлэг зөвхөн өөрөө асуудаг клиентэд тусалдаг вэ

Бүсэд SRV бичлэг нэмэх нь ямар ч VPN клиентэд түүнийг хайхыг заадаггүй. Клиент шошгыг мэдэж, асуулга илгээхээр шийдэж, буцаж ирсэн зүйлд тохируулан ажиллах ёстой бөгөөд DNS эхний хоёрыг нь хангаж чадахгүй. Тиймээс бүтэлгүйтсэн SRV төлөвлөгөөний ихэнх нь DNS-ийн дүрэнд орсон клиентийн асуудал. Эхлээд клиентийн нээлтийн зан төлөвийг уншаад, дараа нь түүний үнэхээр асуудаг шошгыг л нийтэл.

Хэн ч асуудаггүй бичлэг хэнд ч тусалж чадахгүй

SRV нь үйлчилгээний байршлыг нийтэлдэг; тэр үйлчилгээг зарладаггүй. Бичлэгийг клиент рүү түлхэх зүйл байхгүй бөгөөд хэзээ ч асуугаагүй нэрийг ямар ч шийдэгч санаачилж өгдөггүй. Хайлт нь аппликейшн үүнийг хийхээр шийдэх үед эхэлдэг тул шошго нь бүтээгдэхүүний баримт бичгээс эсвэл сүлжээн дэх программ хангамжийг ажигласнаас гарах ёстой. Клиентэд нээлтийн алхам байхгүй газарт бичлэг бүсийг өөрчилдөг, өөр юу ч биш.

Тиймээс сүлжээн дэх нэг бүтээгдэхүүн ажиллаж эхлэхэд нөгөө нь ижил өөрчлөлтөд өртөхгүй байж болно. Хувьсагч нь программ хангамж бөгөөд DNS сервер түүнд хэлсэн зүйлийг яг таг хийдэг. Засварын дараа бүсийг дахин уншаарай, учир нь буруу бичсэн шошго бүгд ижил харагдах бичлэгүүдийн дунд амархан нуугддаг.

Бичихээс өмнө талбаруудыг унших

Бичлэг дөрвөн утга агуулдаг бөгөөд тус бүр өөр асуултад хариулдаг: тэргүүлэх чиглэл нь клиентийн туршиж болох зорилтуудыг цэгцэлдэг, жин нь ижил тэргүүлэх чиглэлийн зорилтуудын хооронд ачааллыг хуваадаг, порт нь тээврийн портыг нэрлэдэг, зорилт нь хостыг нэрлэдэг. Тодорхойлолт нь . зорилтыг үйлчилгээ санаатайгаар ашиглах боломжгүй гэсэн утгаар оруулахыг зөвшөөрдөг бөгөөд энэ нь эвдэрсэн бус ашигтай хариулт юм.

Эдгээр талбаруудын аль нь ч нэвтрэх мэдээлэл, гэрчилгээний бодлого эсвэл аппликейшны хувилбарыг агуулдаггүй бөгөөд жинг үл тоомсорлодог клиент ч холбогддог, зөвхөн төлөвлөсөн тэнцвэргүйгээр. Зорилт нь өөрийн гэсэн хаягийн бичлэгтэй байх ёстой бөгөөд энэ нь хоч биш канон нэр байх ёстой. Сонсогчгүй хост руу заасан бичлэгийг нийтлэх нь DNS гэмтэл мэт уншигдах холболтын алдаа үүсгэдэг бөгөөд энэ нь төөрөгдүүлэх хамгийн үнэтэй хэлбэр юм. Бүхэл гинжийг нийтлэх эсвэл түүнээс юу ч нийтлэхгүй байх.

Клиент үнэхээр илгээдэг шошгыг ол

Шошгыг бүтээгдэхүүний нэрийн талаарх таамаглалаас биш, нотолгоонд үндэслэн тогтоо. Нэг бол баримт бичиг үйлчилгээний нэрийг заадаг, эсвэл бичлэг нь клиент эхлэх үед гарч буй асуулгыг харуулдаг. Хоёр зам нэг л газарт дуусдаг: шийдэгчийн эсрэг турших нарийн нэр ба төрөл.

dig +short SRV _vpn._tcp.gw.example
dig +short A edge2.gw.example
tcpdump -ni any udp port 53

Хариултыг нийтэлсэн бичлэгтэйгээ тэмдэг тэмдгээр харьцуул, учир нь доогуур зураас болон төгсгөлийн цэг нь нэрний хэсэг. Үнэхээр илгээсэн асуулгад өгсөн хоосон хариулт бүсийг заадаг бол асуулга огт байхгүй нь клиентийг заадаг бөгөөд эдгээр олдвор таныг өөр өөр багууд руу илгээдэг. Жинхэнэ хариулт доорх мөр шиг харагдана, тэнд 20 тэргүүлэх чиглэл нь аливаа доогуур тэргүүлэх чиглэлийн бичлэгт ялагдаж, клиент заасан зорилт дээр 8443 портыг залгадаг.

_vpn._tcp.gw.example. 600 IN SRV 20 10 8443 edge2.gw.example.

Зорилт бас байх ёстой

Шийдэгддэг зорилт нь хариулдаг үйлчилгээтэй ижил зүйл биш. Зорилтын хаягийн бичлэгүүдийг шалгаад, дараа нь нийтэлсэн порт болон протокол дээр ямар нэгэн зүйл сонсож байгаа эсэхийг шалга. Зөвхөн UDP сонсогч руу заасан TCP бичлэг нь ямар ч бүсийн засвараар засагдахгүй зөрүү юм. Зорилт хөдөлгөөнтэй байх үед TTL-ийг богино байлгаад, нэр хөдлөхөө болиход уртасга.

Нээлтийг үнэхээр хэрэгжүүлдэг клиентүүд бичлэгийг хэр зэрэг хүндэтгэдгээрээ ялгаатай. Зарим нь зөвхөн тэргүүлэх чиглэлийг ашигладаг, зарим нь жинг зөвлөмж гэж үздэг, цөөн нь портыг үл тоомсорлож өгөгдмөл утгыг таамагладаг. Эдгээр ялгаа нь шошгын хажууд байх таны тэмдэглэлд байх ёстой, учир нь тэдгээр нь өөрөөр шийдэгчийн гэмтэл мэт харагдах зан төлөвийг тайлбарладаг.

Нээлт бол баталгаажуулалт биш

SRV хариулт хаана холбогдохыг хэлдэг бөгөөд хүрсний дараа хэнд итгэх талаар юу ч хэлдэггүй. Клиентийн гэрчилгээний баталгаажуулалт болон серверийн таних тэмдгийн шалгалтыг яг байсан хэвээр үлдээ, учир нь өөр хэн нэгэн хуурамчаар хийж болох бичлэг итгэлцлийн шийдвэр болох ёсгүй. DNS хариултуудыг кэшлэх боломжтой бөгөөд бүсийг хянадаг хэн ч засах боломжтой тул бодлогыг кодлоход муу газар юм.

Нээлтийн дэмжлэггүй клиентэд түүний хүлээн авдаг профайл эсвэл гарцын URL-ийг тарааж, аль бүтээгдэхүүн аль аргыг ашигладаг болохыг тэмдэглэ. Тэр тэмдэглэл дараагийн админ бичлэг нэмж, энэ хаа сайгүй ажиллана гэж найдахаас сэргийлдэг. SRV тодорхойлолт зорилтуудын хоорондын сонголтыг тайлбарладаг бөгөөд үүнийг эрх олгох механизм гэж унших нь ашигтай бичлэгийг аюулгүй байдлын таамаглал болгох зам юм. Санаатайгаар нийтэл, шошгыг баримт бичигтээ нэрлэ, клиентийг энэ бүгд хамаатай эсэхийг шийддэг бүрэлдэхүүн хэсэг гэж үз.