Nama DNS peribadi atau hanya IP? Tentukan sebelum berkongsi

Dua soalan bercampur apabila perkhidmatan peribadi dibuka kepada pengguna jauh. Yang pertama ialah nama yang harus digunakan oleh klien; yang kedua ialah sumber yang harus diterima oleh perkhidmatan. Jawab kedua-duanya dalam urutan itu, kerana nama yang betul di sebalik peraturan akses yang salah masih gagal, dan peraturan yang betul di sebalik nama yang tidak diselesaikan tidak pernah diuji langsung.

Syarat satu: laluan penyelesai yang mana dimiliki klien?

Nama peribadi hanya berfungsi jika penyelesai klien dapat menjawabnya. Ini bermakna klien jauh yang dibenarkan mesti mencapai pelayan DNS yang memegang zon itu, sama ada melalui terowong atau melalui penyelesai yang organisasi sudah jalankan untuk pengguna jauh. Terowong ialah pengangkutan, bukan direktori. Ia memberi klien laluan ke penyelesai, dan ia tidak memberitahu klien zon mana yang perlu ditanya.

resolvectl query files.corp.example
dig @10.20.30.10 +short files.corp.example

Penyelesai awam tidak akan mempelajari zon peribadi kerana komputer riba disambungkan kepada VPN.

Akhiran itu juga memerlukan perhatian yang sama. Gunakan subdomain bagi domain yang dikawal oleh organisasi, supaya pemilikan dan perancangan sijil kekal jelas. Elakkan .local: spesifikasi multicast DNS mengikat akhiran itu kepada penyelesaian link-local, dan terowong yang dihalakan tidak menghasilkan semula tingkah laku itu untuk anda.

Syarat dua: sumber yang mana diterima oleh perkhidmatan?

Peraturan penerimaan ditulis terhadap alamat, jadi soalan yang berguna ialah alamat yang dilihat oleh perkhidmatan selepas penghalakan dan penterjemahan. Untuk perkhidmatan contoh di 10.20.30.40, klien pejabat datang dari 10.20.30.0/24 dan klien jauh datang dari kumpulan berasingan seperti 10.99.0.0/24.

Jika get laluan menterjemah kumpulan jauh, perkhidmatan melihat penterjemah, dan peraturan yang ditulis untuk 10.99.0.0/24 tidak akan sepadan.

Baca ini dari sisi perkhidmatan dan bukan dari sisi klien. Log pendengar atau tangkapan paket pada hos perkhidmatan menunjukkan sumber yang benar-benar tiba; alamat klien sendiri hanyalah tekaan tentang apa yang bertahan melalui laluan itu.

Syarat tiga: adakah nama terikat kepada perkhidmatan atau kepada hos?

Nama yang menunjuk kepada alamat satu mesin mengikat setiap klien kepada mesin itu. Nama yang menunjuk kepada pengimbang beban atau alamat perkhidmatan yang stabil bertahan apabila hos di belakangnya diganti. Pilih dengan sedar, kerana mengubahnya kemudian bermakna mengubah penanda buku setiap klien dan subjek setiap sijil.

Untuk satu perkhidmatan dalaman, rekod langsung biasanya wajar dan lebih mudah difikirkan.

Untuk apa sahaja yang akan diganti, dibina semula atau diskalakan, bahagian hadapan yang stabil berbaloi dengan konfigurasi tambahan. Ujiannya mudah: jika anda boleh menggantikan bahagian belakang tanpa memberitahu pengguna, nama itu terikat kepada perkhidmatan; jika tidak, ia terikat kepada hos.

Uji kedua-dua keputusan secara berasingan

Selesaikan dahulu, kemudian sambung. Ujian penyelesaian yang mengembalikan alamat yang dijangka membuktikan laluan nama dan tidak berkata apa-apa tentang penerimaan. Ujian sambungan membuktikan laluan dan peraturan bersama-sama, jadi jalankannya hanya selepas penyelesaian berjaya.

curl -sv --max-time 5 https://files.corp.example/health

Kemudian uji satu sumber terlarang sekali, dan catat hasilnya.

Simpan kedua-dua rekod secara berasingan dalam dokumentasi anda: nama dan zonnya, sumber yang diterima dan pemilik peraturan. Apabila satu berubah, yang lain tidak perlu berubah.

Di mana keputusan biasanya salah

Kegagalan biasa ialah perkhidmatan yang diterbitkan di bawah nama yang hanya diselesaikan pada rangkaian pejabat, dengan peraturan penerimaan yang hanya menerima julat pejabat. Pengguna jauh kemudian melaporkan perkhidmatan yang rosak yang sebenarnya dua peninggalan berasingan. Kegagalan biasa kedua ialah sebaliknya: peraturan penerimaan yang luas ditambah untuk menghilangkan masalah nama membiarkan perkhidmatan boleh dicapai dari sumber yang tiada siapa niatkan. Kedua-duanya peninggalan konfigurasi, dan dari kerusi pengguna kedua-duanya kelihatan sama.

Tiada satu pun kesilapan itu kelihatan daripada satu ujian yang berjaya. Itulah sebabnya kedua-dua keputusan wajar mendapat rekod berasingan dan ujian berasingan, walaupun orang yang sama membuat kedua-duanya.

Tulis kedua-duanya sebelum perkhidmatan berjalan, kerana perubahan seterusnya akan lebih mudah difikirkan. Rekodnya pendek: satu baris untuk nama dan zonnya, satu baris untuk sumber yang diterima dan pemilik peraturan.