DNS ġeografiku u anycast: kif tivverifika d-dħul tal-VPN li tikseb

Tweġiba DNS fil-qrib tħoss li hija problema solvuta sakemm il-konnessjoni tinżel band'oħra. Id-DNS ġeografiku u l-anycast it-tnejn jippruvaw iqassru l-mogħdija, u jieħdu dik id-deċiżjoni minn informazzjoni differenti. L-ebda wieħed ma jiggarantixxi li l-gateway li tasal għalih hija aċċessibbli, li tippreżenta l-identità li l-klijent tiegħek jistenna, jew li s-sessjoni tiegħek tippersisti meta jinbidel in-nod. Il-verifiki hawn taħt jifirdu dawk l-erba' mistoqsijiet.

Ivverifika liema post qed jirrapporta verament ir-resolver

Server awtorevoli li jwieġeb mistoqsija sensittiva għat-topoloġija normalment jara l-indirizz tar-resolver rekursiv li staqsa, mhux l-indirizz tal-persuna li kitbet l-isem. Resolver ċentralizzat jista' jkun 'il bogħod mill-klijenti li jaqdi, u t-tweġiba tirrifletti r-resolver u mhux lilhom. Dan mhux difett; hekk iġib ruħu l-protokoll sakemm ma jingħatawx informazzjoni addizzjonali. L-ispeċifikazzjoni EDNS Client Subnet tiddeskrivi kemm il-limitazzjoni kif ukoll ir-rimedju fakultattiv.

EDNS Client Subnet jista' jġorr informazzjoni tan-netwerk tal-oriġini meta kull parteċipant jappoġġjah u jattivah. Huwa fakultattiv, għandu konsegwenzi għall-privatezza u għall-caching, u mhuwiex permess li wieħed jassumi li xi resolver pubbliku jirrapporta post preċiż tal-utent. Staqsi lill-operaturi tar-resolver qabel tiddisinja fuqu.

dig +short vpn.example.com @1.1.1.1
dig +short vpn.example.com @9.9.9.9
dig +subnet=203.0.113.0/24 +short vpn.example.com

Ivverifika x'iddeċieda r-routing anycast

Bl-anycast, diversi postijiet jirreklamaw aċċessibbiltà għal indirizz wieħed tas-servizz, u n-netwerk iwassal kull klijent lin-nod li l-routing tiegħu jippreferi. Dik l-għażla ssir mill-BGP u mill-politika tal-madwar, mhux mid-distanza fuq mappa. Il-qrubija topoloġika wkoll ġeneralment mhijiex daqs prestazzjoni aħjar ta' round-trip, għax il-mogħdija li tidher qasira tista' tkun konġestjonata jew asimmetrika. L-indirizz li ngħatajt ma jgħidlek xejn dwar liema nod wieġeb.

Ikkonferma l-post li qeda mis-servizz, jew minn tweġiba li ssemmih, mhux mill-indirizz DNS biss. traceroute -n 198.51.100.20 turi l-mogħdija li ħadt u xorta ma ssemmix il-host fl-aħħar tagħha, għalhekk aqraha bħala mogħdija u mhux bħala tweġiba.

Ivverifika li s-sessjoni tippersisti meta jinbidel in-nod

Mistoqsija DNS hija qasira u sessjoni VPN hija twila, u t-tnejn għandhom rekwiżiti tal-istat kompletament differenti. Ir-routing jista' jinbidel f'nofs is-sessjoni, u meta jiġri dan, pakketti aktar tard jistgħu jaslu f'nod li qatt ma ra t-tunnel tiegħek. Jekk dan huwiex sopravivibbli jiddependi mill-implimentazzjoni: stat kondiviż, konnessjoni mill-ġdid deliberata, jew falliment iddokumentat. L-indirizz waħdu ma jipprovdi xejn minn dawn.

Osserva l-bidla minflok tassumiha. sudo tcpdump -ni any -c 20 esp turi l-pakketti ta' barra hekk kif tinbidel il-mogħdija, u bidla f'salt fl-indirizz tal-peer hija l-bidla li qed isseħħ. Iddefinixxi b'mod espliċitu l-imġiba maħsuba għall-implimentazzjoni li tmexxi, imbagħad ittestjaha billi tisfurza bidla fil-mogħdija. Jekk id-disinn jassumi replikazzjoni tas-sessjoni, semmi l-mekkaniżmu u semmi l-falliment li ma jkoprix.

Ivverifika li l-identità għadha taqbel

Kull punt tad-dħul irid jippreżenta l-identità li l-profil tal-klijent tiegħek jistenna. Ċertifikat maħruġ għall-isem tas-servizz jaħdem bejn in-nodi, filwaqt li ċertifikati għal kull nod iġiegħlu lill-klijent jaċċetta xi ħaġa ġdida, u hawnhekk l-utenti jitgħallmu jagħfsu permezz tal-avviżi. Żomm l-identità mistennija u l-profil konsistenti mal-mudell tad-dħul.

Ivverifikaha minn klijent li wasal għal nod mhux tas-soltu, għax dak huwa l-każ fejn ċertifikat għal kull nod jidher. openssl s_client -connect vpn.example.com:443 -servername vpn.example.com jistampa l-katina u l-ismijiet, li huwa eżattament dak li jqabbel il-klijent. Imbagħad iddeċiedi jekk il-profil għandux jiġi ristrett jew jekk il-mudell taċ-ċertifikat għandux jinbidel.

Ivverifika r-rekord, mhux biss l-ewwel tweġiba

Evalwa tliet xenarji u ikteb erba' fatti għal kull wieħed: dħul normali, post wieħed mhux disponibbli, u l-każ ta' rkupru miftiehem. L-erba' fatti huma r-resolver użat, l-indirizz irritornat, il-post li qeda, u riżultat ġdid tal-applikazzjoni. Dak ir-rekord jifred problema ta' għażla DNS minn problema tal-gateway, problema tar-routing jew problema tal-istat tas-sessjoni. Mingħajrha, l-erbgħa jidhru identiċi mill-klijent.

dig +short vpn.example.com
getent hosts vpn.example.com
curl -s -o /dev/null -w "%{http_code}
" https://vpn.example.com/health

Mexxi x-xenarji minn netwerks ta' aċċess rappreżentattivi u mhux biss mill-uffiċċju, għax il-mistoqsija kollha hija dwar liema punt tad-dħul klijenti differenti verament jaslu. Netwerk wieħed huwa kampjun ta' wieħed.