Senarai izin titik akhir VPN: Penyegaran DNS yang anda lupakan

Menulis vpn.example.com ke dalam pengecualian firewall terasa seperti melanggan DNS. Yang biasanya berlaku ialah terjemahan semasa dimuatkan, selepas itu peraturan menyimpan alamat dan tiada apa menyegarkannya. Dua komponen kini berkongsi kerja: penyelesai yang menjawab dan firewall yang menyimpan. Kebanyakan gangguan titik akhir bermula di tempat penyerahan itu tidak pernah direka bentuk.

Nama hos dalam peraturan bukan langganan langsung

Sesetengah alat menyelesaikan nama apabila konfigurasi dimuatkan; yang lain menyimpan nama hos dan menyelesaikannya semula mengikut jadual sendiri; yang lain hanya menerima alamat. Konfigurasi yang kelihatan jarang menyatakan yang mana. Contoh dokumentasi biasanya menganggap kes masa muat, sebab itu perbezaan ini mengejutkan orang semasa migrasi. Baca tingkah laku pelaksanaan sebelum menganggap perubahan alamat akan diperhatikan, kerana senarai izin yang sudah usang kelihatan tepat seperti yang berfungsi sehingga titik akhir berpindah.

Peraturan yang menamakan hos yang betul masih boleh membenarkan alamat yang salah. Jurang itulah mitosnya, bukan kesilapan ejaan.

TTL cache bukan pemasa firewall anda

Rekod DNS membawa masa hidup, dan penyelesai menyimpan jawapan dalam cache untuk tempoh itu. Spesifikasi DNS mentakrifkan tingkah laku cache itu, tetapi ia mengawal data DNS, bukan stor alamat berasingan sesuatu firewall. TTL pendek tidak mencipta kerja penyegaran di tempat yang tiada. Cache juga berlaku pada lebih daripada satu lapisan, jadi jawapan yang dilihat terminal mungkin bukan yang dilihat firewall.

Tanya produk sebenar tiga soalan: bila ia menyelesaikan, di mana ia menyimpan hasil, dan apa yang mencetuskan kemas kini. Jika jawapannya hanya semasa but, sesi panjang hayat boleh hidup lebih lama daripada alamat yang diterimanya.

dig +short vpn.example.com
resolvectl query vpn.example.com

Reka penyegaran dan kegagalan sebagai satu dasar

Pengecualian yang diselenggara memerlukan jawapan eksplisit: apa yang mencetuskan penyegaran sebelum klien memilih alamat baharu, bagaimana set yang dibenarkan berubah tanpa membuka tetingkap sementara yang luas, dan bila entri usang dibuang. Tulis jawapan itu di sebelah peraturan.

Pilih tingkah laku kegagalan dengan sengaja. Mengekalkan alamat lama mungkin menyelamatkan sesi dan meninggalkan kebenaran usang; mengosongkan set mungkin menghalang pemulihan. Kedua-duanya tidak sepatutnya menjadi hasil kebetulan carian yang gagal. Tulis tingkah laku yang dipilih ke dalam runbook supaya pengendali seterusnya tidak berimprovisasi di bawah tekanan.

Jaga juga DNS but sempit. Pengecualian penyelesai awam tanpa syarat ialah laluan DNS langsung untuk semua yang dipadankannya, bukan hanya untuk nama titik akhir.

Buktikan perubahan titik akhir, bukan sambungan pertama

Gunakan pengurus yang disokong klien jika ia sudah menyelaras penyelesaian dan penyekatan. Pada hos PF yang diurus tapak, kekalkan pemilikan dan pelan pemulihan tapak dan bukan menyalin sintaks jadual nama hos daripada platform lain dengan tingkah laku kitaran hayat yang berbeza.

Dengan ujian yang diluluskan dan tidak berbahaya, bandingkan alamat yang dipilih klien dengan set izin aktif sebelum dan selepas perubahan terkawal. Liputi carian yang gagal, pemadaman entri yang tidak lagi sah dan, jika disokong, keluarga alamat berbeza. Terowong yang dimaksudkan harus pulih sementara trafik langsung tidak berkaitan kekal di bawah dasar. Sambungan pertama yang berjaya hanya membuktikan bahawa terjemahan awal kebetulan betul.