भौगोलिक DNS आणि anycast: तुम्हाला मिळणारा VPN प्रवेश तपासणे

जवळचे DNS उत्तर सोडवलेली समस्या वाटते, जोपर्यंत कनेक्शन दुसरीकडे पोहोचत नाही. भौगोलिक DNS आणि anycast दोन्ही मार्ग लहान करण्याचा प्रयत्न करतात, आणि तो निर्णय ते वेगवेगळ्या माहितीवरून घेतात. तुम्ही पोहोचता ते गेटवे पोहोचण्यायोग्य आहे, ते तुमच्या क्लायंटला अपेक्षित ओळख सादर करते, किंवा नोड बदलल्यावर तुमचे सत्र टिकते याची त्यांपैकी कोणतीही हमी देत नाही. खालील तपासण्या त्या चार प्रश्नांची फाटाफूट करतात.

रिझोल्व्हर प्रत्यक्षात कोणाचे स्थान सांगतो ते तपासा

टोपोलॉजी-संवेदनशील प्रश्नाला उत्तर देणारा अधिकृत सर्व्हर सामान्यतः विचारलेल्या रिकर्सिव्ह रिझोल्व्हरचा पत्ता पाहतो, नाव टाइप केलेल्या व्यक्तीचा पत्ता नाही. केंद्रीकृत रिझोल्व्हर ज्या क्लायंटना सेवा देतो त्यांच्यापासून खूप दूर असू शकतो, आणि उत्तर त्या क्लायंटऐवजी रिझोल्व्हरचे प्रतिबिंब दाखवते. हा दोष नाही; अतिरिक्त माहिती दिल्याशिवाय प्रोटोकॉल असेच वागतो. EDNS Client Subnet तपशील मर्यादा आणि ऐच्छिक उपाय दोन्ही वर्णन करतो.

प्रत्येक सहभागीने ते समर्थित केले आणि सक्षम केले तर EDNS Client Subnet मूळ-नेटवर्क माहिती वाहून नेऊ शकते. हे ऐच्छिक आहे, त्याचे गोपनीयता आणि कॅशिंगवर परिणाम आहेत, आणि कोणताही सार्वजनिक रिझोल्व्हर वापरकर्त्याचे अचूक स्थान सांगतो असे गृहीत धरण्याची परवानगी नाही. त्यावर रचना करण्यापूर्वी रिझोल्व्हर ऑपरेटरांना विचारा.

dig +short vpn.example.com @1.1.1.1
dig +short vpn.example.com @9.9.9.9
dig +subnet=203.0.113.0/24 +short vpn.example.com

anycast राउटिंगने काय ठरवले ते तपासा

anycast मध्ये, अनेक स्थाने एका सेवा पत्त्यासाठी पोहोचण्याची घोषणा करतात, आणि नेटवर्क प्रत्येक क्लायंटला त्याच्या राउटिंगला आवडणाऱ्या नोडपर्यंत पोहोचवते. ती निवड नकाशावरील अंतराने नाही, तर BGP आणि आसपासच्या धोरणाने केली जाते. टोपोलॉजिकल जवळीक सामान्यतः चांगल्या राउंड-ट्रिप कार्यक्षमतेशी समान नसते, कारण लहान दिसणारा मार्ग गर्दीचा किंवा असममित असू शकतो. तुम्हाला दिलेला पत्ता कोणत्या नोडने उत्तर दिले याबद्दल काहीही सांगत नाही.

सेवा देणारे स्थान सेवेच्या बाजूने किंवा त्याचे नाव देणाऱ्या प्रतिसादातून तपासा, केवळ DNS उत्तरावरून नाही. traceroute -n 198.51.100.20 तुम्ही घेतलेला मार्ग दाखवते आणि तरीही त्याच्या शेवटी असलेल्या होस्टचे नाव देत नाही, म्हणून ते उत्तर म्हणून नाही तर मार्ग म्हणून वाचा.

नोड बदलल्यावर सत्र टिकते का ते तपासा

DNS प्रश्न लहान असतो आणि VPN सत्र लांब असते, आणि दोन्हींच्या स्थितीच्या आवश्यकता पूर्णपणे वेगळ्या आहेत. सत्राच्या मध्यभागी राउटिंग बदलू शकते, आणि जेव्हा बदलते तेव्हा नंतरचे पॅकेट तुमचे टनेल कधीही न पाहिलेल्या नोडपर्यंत पोहोचू शकतात. ते टिकणारे आहे का हे अंमलबजावणीवर अवलंबून आहे: सामायिक स्थिती, जाणीवपूर्वक पुन्हा कनेक्ट होणे, किंवा नोंदवलेले अपयश. केवळ पत्ता यापैकी काहीही पुरवत नाही.

बदल गृहीत धरण्याऐवजी निरीक्षण करा. मार्ग बदलताना sudo tcpdump -ni any -c 20 esp बाह्य पॅकेट दाखवते, आणि पीअर पत्त्यातील अचानक बदल म्हणजे घडणारी शिफ्ट. तुम्ही चालवत असलेल्या अंमलबजावणीसाठी इच्छित वर्तन स्पष्टपणे परिभाषित करा, नंतर मार्ग बदलण्यास भाग पाडून त्याची चाचणी करा. जर रचना सत्र प्रतिकृती गृहीत धरत असेल, तर यंत्रणेचे नाव द्या आणि ती जे अपयश व्यापत नाही त्याचे नाव द्या.

ओळख अजूनही जुळते का ते तपासा

प्रत्येक प्रवेश बिंदूने तुमचा क्लायंट प्रोफाइल अपेक्षित असलेली ओळख सादर करणे आवश्यक आहे. सेवा नावासाठी जारी केलेले प्रमाणपत्र नोड्समध्ये काम करते, तर प्रति-नोड प्रमाणपत्रे क्लायंटला नवीन काहीतरी स्वीकारण्यास भाग पाडतात, आणि वापरकर्ते इशाऱ्यांकडे दुर्लक्ष करून पुढे जाण्यास शिकतात ते इथेच. अपेक्षित ओळख आणि प्रोफाइल प्रवेश मॉडेलशी सुसंगत ठेवा.

असामान्य नोडपर्यंत पोहोचलेल्या क्लायंटमधून ते तपासा, कारण प्रति-नोड प्रमाणपत्र दिसते तोच तो प्रसंग. openssl s_client -connect vpn.example.com:443 -servername vpn.example.com साखळी आणि नावे छापते, जे क्लायंट तुलना करतो तेच. नंतर प्रोफाइल अरुंद करावे की प्रमाणपत्र मॉडेल बदलावे हे ठरवा.

फक्त पहिले उत्तर नाही, नोंद तपासा

तीन परिस्थितींचे मूल्यांकन करा आणि प्रत्येकासाठी चार तथ्ये लिहा: सामान्य प्रवेश, एक स्थान अनुपलब्ध, आणि ठरलेली पुनर्प्राप्ती स्थिती. चार तथ्ये म्हणजे वापरलेला रिझोल्व्हर, परत दिलेला पत्ता, सेवा देणारे स्थान आणि नवीन अनुप्रयोग निकाल. ती नोंद DNS निवडीची समस्या गेटवे समस्या, राउटिंग समस्या किंवा सत्र-स्थिती समस्येपासून वेगळी करते. ती नसल्यास, चारही क्लायंटकडून एकसारखे दिसतात.

dig +short vpn.example.com
getent hosts vpn.example.com
curl -s -o /dev/null -w "%{http_code}
" https://vpn.example.com/health

परिस्थिती केवळ कार्यालयातून नाही तर प्रातिनिधिक प्रवेश नेटवर्कमधून चालवा, कारण संपूर्ण प्रश्न वेगवेगळे क्लायंट प्रत्यक्षात कोणत्या प्रवेश बिंदूपर्यंत पोहोचतात याचा आहे. एक नेटवर्क म्हणजे एकाचा नमुना.