DNS tal-endpoint AWS Client VPN: għaliex l-iffissar tal-IP riżolta jonqos
Issostitwixxi l-isem tal-endpoint AWS Client VPN bl-address li rriżolvjt, u t-tunnel jieqaf jaħdem aktar tard. Żomm l-isem esportat u l-prefiss każwali tiegħu.
Il-ġimgħa li għaddiet dig +short tak address waħda għall-isem tal-endpoint fil-profil AWS Client VPN tiegħek, u t-tunnel qabbad. Din il-ġimgħa l-istess profil jibqa' fuq 'Connecting' fuq il-laptop tiegħek waqt li kopja mhux mittiefsa ta' kollega għadha taħdem. Xejn ma ġie mblukkat u ċ-ċertifikat ma skadix. Xi ħadd biddel l-isem tal-host tal-endpoint b'dik l-address riżolta, u s-servizz m'għadux iwieġeb hemmhekk. L-isem esportat huwa l-parti li nbniet biex tgħaddi minn dik il-bidla.
L-isem fil-profil tiegħek jista' ma jkunx l-isem li qed jiġi mistoqsi
Profili esportati minn Client VPN spiss iġorru remote-random-hostname. B'dik l-għażla mixgħula, il-klijent jibni tikka ta' darba, jgħaqqadha mal-isem tal-endpoint b'punt, u jirriżolvi l-isem magħqud. Rekord wildcard fiż-żona tal-endpoint iwieġeb lil kull tikka, u għalhekk prefiss maħluq xorta jiġi riżolt u għalhekk il-trick jibqa' inviżibbli meta tipprova tirriproduċi l-mistoqsija bl-idejn.
Allura meta tippejstja l-isem tal-endpoint f'terminal u tirċievi tweġiba, tkun irriżolvjt isem differenti minn dak li juża l-klijent fil-ħin tal-konnessjoni. Dan in-nuqqas ta' qbil mhuwiex difett li għandu jiġi kkoreġut fil-profil. It-tikka tinġenera mill-ġdid apposta: l-għażla żżomm il-caches milli jżommu tweġiba antikwata, u qatt ma tidentifika l-magna jew is-sessjoni tiegħek.
Iltaqjt mal-każ tal-kompatibbiltà fejn klijent jinjora l-għażla għal kollox. AWS jiddokumenta s-soluzzjoni: żomm l-isem veru tal-endpoint u żid quddiemu sensiela każwali u punt, u ttrattah bħala mudell ta' ismijiet u mhux bħala valur x'tejpa. Li tapplikaha fuq klijent qadim huwa raġonevoli; li tikkodifika s-sensiela bil-prefiss bħala l-endpoint mhuwiex.
Għaliex tweġiba maħżuna ma tistax tibqa' korretta
L-indirizzi tal-endpoint ta' Client VPN huma mmaniġġjati minn AWS u jinbidlu maż-żmien, kif tgħid b'mod ċar id-dokumentazzjoni tal-aħjar prattiki. Tweġiba maqbuda hija snapshot ta' riżoluzzjoni waħda. Profil li jikkodifikaha jsir profil immirat lejn host li jkun ġie rtirat malli s-servizz jiċċaqlaq, u l-falliment rari jidher bħal DNS: ikollok timeout tal-konnessjoni jew handshake waqfa, u allura n-nies jiġru wara r-routing u ċ-ċertifikati.
L-istess tweġiba f'/etc/hosts tiret l-istess skadenza b'problema żejda. Entrata hosts tgħaddi minn restarts, esportazzjonijiet mill-ġdid u tiswijiet 'erġa' installa l-klijent', u għalhekk il-falliment jerġa' lura kull darba li l-address tiċċaqlaq. Rajt waħda tibqa' bla ħsara għal ġimgħat, imbagħad tqaċċat kull magna li kienet iġġorrha waqt li installazzjonijiet friski qabbdu normalment. Dak ix-xquq, grupp jonqos u ieħor tajjeb fuq l-istess kont, huwa l-iċken ħjiel li se tikseb.
Illimita l-iskop tal-każwalità tajjeb. Din isseħħ għal kull attentat ta' konnessjoni. Tunnel stabbilit ma jerġax jirriżolvi l-endpoint tiegħu, ma jbiddilx servers f'nofs is-sessjoni, u talbiet individwali tal-applikazzjoni ma jagħżlux kull waħda host VPN ġdid. Biss l-attentat li jmiss jerġa' jirriżolvi, u għalhekk sessjoni li taħdem il-wara nofsinhar kollha ma tgħid xejn dwar għada filgħodu.
X'jivverifika s-servizz meta jitla' t-tunnel
Client VPN jitlob li l-address li int konness miegħu taqbel ma' address riżolta għall-isem DNS tal-endpoint. Dan ir-rekwiżit wieħed jispjega diversi fallimenti li jidhru mhux relatati: rekord DNS personalizzat li jindika x'imkien ieħor, frontend personalizzat li jgħaddi lejn l-address vera tal-endpoint, u profil li tħassar mill-ġdid għal address mhux maħduma. AWS jiddokumenta l-arranġament ta' rekord personalizzat flimkien ma' trażmissjoni bħala falliment mal-klijenti reċenti pprovduti minn AWS. Il-verifika hija dejqa; mhijiex sentenza li kull alias huwa pprojbit.
Mhuwiex ukoll regola ġenerali dwar protokolli VPN. remote numeriku huwa validu għal kollox fi implimentazzjoni ordinarja ta' OpenVPN, u ħafna jaħdmu hekk. Ir-restrizzjoni tiġi mill-arranġament immaniġġjat, mhux mill-protokoll taħtu.
Li jagħmel it-trattament ħafif tal-verifika taċ-ċertifikat ir-rifless żbaljat. Jekk profil jonqos wara skambju ta' address, li tintefa l-verifika tas-server iċċaqlaq l-iżball minflok ma ssewwi r-riżoluzzjoni jew il-ħtieġa tal-qbil tal-address, u tħalli klijent li se jafda lil kollox. Żomm is-CA esportat, il-verifika tas-server u l-issettjar tal-awtentikazzjoni reċiproka eżatt kif waslu.
Listi ta' permess, egress u DNS privat huma tliet problemi separati
Regola tal-firewall li trid tippermetti destinazzjoni qabel ma jqabbad il-laptop hija dwar il-listeners ta' barra. Agħti lis-sid tan-netwerk l-isem tal-endpoint, it-trasport u l-port ikkonfigurat, imbagħad staqsi jekk il-kontroll tagħhom jistax isegwi l-imġiba DNS tas-servizz. Regola li żżomm address waħda maqbuda hija snapshot b'skadenza mhux miktuba. Jekk il-kontroll jaċċetta biss destinazzjonijiet li ma jinbidlux, issolvi dak il-vojt qabel ir-rilaxx minflok ma tikkodifika tweġiba bil-moħbi.
Sieħeb li jeħtieġ address sors fissa għal talbiet magħmula wara li jitla' t-tunnel għandu rekwiżit ieħor: l-egress. Dak li jara sit web jiddependi mir-rotta tal-applikazzjoni u mill-politika tat-tunnel maqsum, mhux mill-address li miegħu qabbad il-klijent. It-traffiku tat-tunnel maqsum jista' qatt ma jmiss lil AWS.
Id-DNS privat ġewwa t-tunnel huwa t-tielet saff. Is-solver mogħti lill-klijenti jwieġeb ismijiet interni wara l-konnessjoni; ma jistax jirriżolvi l-endpoint pubbliku qabel ma jeżisti t-tunnel. Falliment fir-riżoluzzjoni tal-endpoint u falliment fir-riżoluzzjoni ta' applikazzjoni interna jseħħu fi stadji differenti, u t-taħlit tagħhom iwasslek għall-log żbaljat.
Il-familja tal-address tappartjeni għall-istess lista. Tweġiba IPv4 ma tgħid xejn dwar il-passaġġ permess ta' endpoint IPv6 jew b'żewġ stack, u għalhekk snapshot meħud f'familja waħda mhuwiex prova għall-oħra.
Ivverifika konnessjoni mingħajr ma tiffissa xejn
Ibda mill-profil kif ġie esportat u aqra x'inhu verament jitlob:
grep -nE '^remote|remote-random-hostname' profile.ovpn
dig +short cvpn-endpoint-ID.prod.clientvpn.REGION.amazonaws.com
ss -tnp | grep -E ':(443|1194)'Imbagħad qabbel tliet affarijiet: l-isem tal-endpoint li jżomm il-profil, l-address li jirrapporta l-klijent għal attentat ġdid, u fejn l-isem qed jiġi riżolt bħalissa. Isem li jiġi riżolt juri biss li r-rekord iwieġeb; it-trasport u l-awtentikazzjoni huma separati, u l-endpoint m'għandux għalfejn iwieġeb ping. Il-log tal-klijent innifsu huwa l-uniku sors għall-element tan-nofs, u għalhekk aqbadha matul l-attentat u mhux wara.
| What you see | Usual cause | Next check |
|---|---|---|
| One machine fails, others connect | Pinned address or stale hosts entry on that machine | Diff its profile and hosts file against a working copy |
| Everyone fails at once, no config change | The endpoint address rotated | Confirm the current endpoint configuration with the account owner |
| Tunnel up, internal names fail | Client DNS policy, not endpoint resolution | Inspect the resolver pushed after connection |
Address li twieġeb illum hija prova dwar illum; l-isem huwa dak li s-servizz iżomm validu. Irreġistra l-osservazzjoni, ibgħatha lil min jippossjedi l-endpoint, u ħalli l-profil jindika lejn l-isem.
Żewġ drawwiet x'jitilqu: li tintefa l-verifiki taċ-ċertifikat biex tgħaddi minn handshake waqfa, u li tixxerred tikketti quddiem l-isem tal-endpoint bit-tama li waħda żżomm. Tikka tiġi riżolta permezz tar-rekord wildcard jew il-problema hija x'imkien ieħor. Jekk profil ikkonfigurat tajjeb xorta jonqos, ibgħat il-mistoqsija eżatta u l-avveniment tal-konnessjoni, mhux isem tal-host itwal.
Qabel ma tagħlaqha: il-profil għadu jġorr l-isem tal-endpoint esportat, ebda fajl hosts ma jiffissa l-address, ir-remote fil-log tal-klijent jaqbel ma' riżoluzzjoni attwali, u r-regola tal-firewall issemmi l-endpoint u mhux address. Dan huwa wkoll l-istat x'għandu jingħata lill-persuna li jmiss.