DNS f’AWS Client VPN: uża r-resolver tal-VPC, mhux is-subnet

L-endpoint qiegħed f’10.0.8.0/24, għalhekk ir-resolver irid ikun 10.0.8.2. Dan huwa r-raġunament li nisma’ l-aktar, u huwa żbaljat darbtejn. Route 53 Resolver iwieġeb fuq il-firxa IPv4 primarja tal-VPC flimkien ma’ tnejn, li għal VPC ta’ 10.0.0.0/16 hija 10.0.0.2, tkun li tkun is-subnet li juża l-endpoint. It-tieni żball huwa aktar siekta: li tpoġġi l-indirizz it-tajjeb fl-endpoint ma jfissirx li s-sistema operattiva tal-klijent qatt tistaqsih xi ħaġa. Iż-żewġ żbalji jagħtu l-istess sintomu: is-soluzzjoni tal-ismijiet taħdem għal xi klijenti u tfalli għal oħrajn.

Il-mit jibda bl-assoċjazzjoni tas-subnet

L-assoċjazzjoni hija dwar fejn jgħixu l-interfaces tan-netwerk elastiku għall-konnessjonijiet tal-klijenti, mhux dwar liema indirizz tar-resolver jeżisti. Is-subnets tal-endpoint jagħtu lill-klijenti indirizz ġewwa l-VPC, u mhux kull waħda minnhom iġġorr resolver tagħha.

Ladarba tifred dawn iż-żewġ ideat, l-aritmetika tieqaf tkun misterjuża u s-soluzzjoni tal-problemi tmur għand il-klijent, fejn fil-fatt jispiċċaw ħafna minn dawn il-każijiet.

Ikkalkula l-indirizz mill-firxa primarja tal-VPC

Ħu l-CIDR IPv4 primarju tal-VPC u żid tnejn mal-indirizz tan-netwerk. 10.0.0.0/16 jagħti 10.0.0.2, 172.31.0.0/16 jagħti 172.31.0.2, u VPC b’firxa sekondarja jżomm ir-resolver fuq dik primarja. Subnet ta’ 10.0.8.0/24 ġewwa dak il-VPC ma jċaqlaqx. Ikteb l-indirizz ħdejn l-ID tal-VPC qabel ma tmiss l-endpoint, għax in-numru hija proprjetà tal-VPC u mhux tal-konnessjoni.

Il-VPC iwieġeb ukoll fuq l-indirizz link-local 169.254.169.253. Dak l-indirizz jintlaħaq minn ġewwa l-VPC, imma mhuwiex destinazzjoni rrottpjata ġenerali għal laptop fit-tarf l-ieħor ta’ tunnel.

Allura hemm żewġ indirizzi tar-resolver validi, u l-ebda waħda minnhom mhijiex is-subnet flimkien ma’ tnejn.

X’jagħmel is-setting tal-endpoint u x’ma jagħmilx

L-endpoint tal-Client VPN għandu oqsma tas-server DNS, u fejn il-console toffri għażla ta’ resolver tal-VPC timla l-istess idea. L-issetjar tagħhom ibiddel dak li s-servizz jagħti lill-klijenti waqt it-twaqqif tal-konnessjoni. Ma jbiddilx dak li jagħmel klijent OpenVPN mhux immaniġġjat b’dak il-valur, għax il-klijent xorta irid japplikah fuq is-sistema operattiva. Minn dan il-vojt ġej «jaħdem fuq il-Mac tiegħi imma mhux fuq il-magna Linux».

Fuq Linux l-integrazzjoni tar-resolver hija tal-maniġer tal-konnessjonijiet u mhux tal-utent. L-editjar ta’ /etc/resolv.conf bl-idejn juri li l-indirizz jaħdem għal sessjoni waħda u mbagħad jisparixxi meta terġa’ tikkonnettja — għalhekk ħafna każijiet imsewwija jerġgħu lura l-għada filgħodu.

Iċċekkja r-resolver attiv fuq il-klijent wara li tikkonnettja, mhux il-paġna tal-konfigurazzjoni tal-endpoint.

Split tunneling jista’ jegħleb resolver korrett

B’split tunneling jintużaw biss ir-rotot imbuttati fit-tunnel. Jekk l-indirizz tar-resolver mhuwiex kopert minn rotta, il-mistoqsija toħroġ mill-interface lokali u jwieġeb ir-router tad-dar tiegħek. L-indirizz fl-endpoint għadu korrett u t-tfittxija għadha tfalli. Żid ir-rotta għar-resolver, imbagħad erġa’ pprova.

Firxiet lokali li jikkoinċidu jagħtu l-istess riżultat b’mod aktar spjaċevoli: il-mistoqsija tiġi mwieġba, imma mis-server żbaljat.

Tiftaħx security groups għall-indirizz ta’ Amazon DNS

L-istint meta t-tfittxijiet jaqbżu l-ħin huwa li żżid regola li tippermetti UDP 53 lejn l-indirizz tar-resolver. AWS tiddokumenta li s-security groups u l-ACLs tan-netwerk ma jiffiltrawx it-traffiku ta’ Amazon DNS kif jiffiltraw it-traffiku lejn istanza DNS tiegħek stess. Li tiftaħ dawk ir-regoli ma jbiddel xejn għar-resolver tal-VPC u jwessa’ l-konfini mingħajr raġuni. Resolver li tmexxi int innifsek huwa każ ieħor u tassew għandu bżonn ir-regoli tiegħu.

Jekk it-tnejn jidhru fid-disinn tiegħek, iċċekkja lejn liema l-klijent tassew qed jipponta qabel ma teditja xi regola.

Ivverifika l-mogħdija, imbagħad kejjel xi ħaġa oħra

Issolvi isem pubbliku, issolvi isem privat reġistrat f’zona ospitata privata assoċjata mal-VPC, u aqra bejniethom ir-resolver attiv tal-klijent. Dak is-sekwenza jifred «l-indirizz tar-resolver huwa żbaljat» minn «iż-żona mhijiex assoċjata» u minn «il-klijent injora s-setting». Kull wieħed għandu tiswija differenti, u l-ebda wieħed mhuwa problema ta’ throughput.

Tfittxija li tirnexxi ma tgħid xejn dwar il-veloċità sostenuta tat-trażmissjoni, għalhekk żomm dawn iż-żewġ konversazzjonijiet separati meta tirrapporta.