Id-dokumentazzjoni tas-split-tunnel teħtieġ regola DNS ħdejn kull rotta
Rotta tiddeċiedi bl-indirizz, resolver jiddeċiedi bl-isem. Iddokumenta ż-żewġ seletturi għal kull fluss, kull wieħed b'test wieħed, inkella n-nota tfalli meta d-DNS jiċċaqlaq.
Nota dwar split-tunnel li tgħid "it-traffiku tal-uffiċċju jgħaddi mill-VPN" iddokumentat deċiżjoni waħda u indikat tlieta oħra. Fil-livell tal-pakketti tabella ta' routing tagħżel interface bl-indirizz tad-destinazzjoni; fil-livell tal-ismijiet resolver jagħżel server bit-tfittxija, u dawn iż-żewġ għażliet isiru b'mod indipendenti. Għalhekk prefiss iddokumentat b'mod korrett xorta jista' jipproduċi magna li ssolvi isem intern f'indirizz pubbliku, jew ma ssolvi xejn waqt li r-rotta tidher perfetta.
Żewġ seletturi, prova waħda ta' konnessjoni
Meta applikazzjoni tikkonnettja ma' files.corp.example, isiru żewġ tfittxijiet qabel ma jeżisti pakkett. Ir-resolver jiddeċiedi liema server jirċievi t-tfittxija, billi juża dominji tat-tfittxija, dominji tar-routing għal kull konnessjoni jew regola espliċita tal-profil. Imbagħad it-tabella tar-routing tiddeċiedi fejn tmur l-indirizz li jirriżulta, billi tuża l-itwal qbil ta' prefiss mad-destinazzjoni.
Xejn ma jgħaqqad dawn iż-żewġ deċiżjonijiet. Żona privata tista' twieġeb b'10.20.4.11 filwaqt li t-tabella tar-routing tibgħat 10.20.0.0/16 fil-mina, u l-konnessjoni taħdem. Aqleb waħda minnhom u tfalli b'mod li jidher bħall-oħra: politika DNS tajba flimkien ma' rotta nieqsa tagħti isem solvut u timeout, filwaqt li rotta tajba flimkien ma' resolver pubbliku tagħti indirizz li jiġi routed b'mod nadif fil-post żbaljat.
Id-DNS b'orizzont maqsum jagħmel dan aktar qawwi. L-istess isem jista' jirritorna indirizz privat mir-resolver intern u indirizz pubbliku minn dak li jħares lejn l-internet, għalhekk nota li tirreġistra biss il-prefiss ma tistax tbassar liema indirizz se juża l-klijent tassew. Ikteb it-triq tar-resolver jew l-indirizz huwa stima.
Xi tħalli barra nota dwar ir-rotta biss
Rekord dwar ir-rotta biss huwa inutli għall-aktar falliment komuni tas-split-tunnel: l-ismijiet. L-utent jirrapporta li l-intranet ma tgħabbix, il-mina hija attiva u l-prefiss huwa preżenti. Min jieħu t-ticket m'għandux rekord ta' liema resolver kellu jwieġeb, m'għandux mod kif jiddistingwi suffiss tat-tfittxija żbaljat minn server imblukkat, u m'għandux linja bażi biex iqabbel.
It-tieni tħassir huwa l-lista tal-eċċezzjonijiet. Disinn tas-split-tunnel huwa definit kemm b'dak li jibqa' barra mill-mina kif ukoll b'dak li jidħol fiha, u l-firxiet esklużi normalment huma l-ewwel li jinqasmu, għax rotta lokali aktar speċifika jew filtru fuq il-klijent jistgħu jegħlbu l-intenzjoni mingħajr ma jmissu l-profil.
It-tielet hija n-naħa l-bogħoda tal-mina. Rotta tal-klijent tpoġġi l-pakkett biss fuq il-wajer; il-gateway xorta jrid jgħaddih 'il quddiem u jkollu triq lura. Il-gwida tal-għoti 'l quddiem ta' strongSwan tfakkar li r-regoli tal-għoti 'l quddiem u tal-firewall fuq il-gateway huma parti mill-funzjoni, mhux parti mill-plumbing li tista' tassumi.
L-oqsma li jagħmlu n-nota eżegwibbli
Ringiela waħda għal kull fluss, u fluss huwa destinazzjoni flimkien ma' isem flimkien ma' sid. Dawn huma l-oqsma li jibqgħu ħajjin meta jiltaqgħu ma' inċident reali:
| Field | Why it has to be written down |
|---|---|
| Destination prefix and address family | The route is per family; an IPv4 note says nothing about a AAAA answer |
| Selected tunnel or direct path | Names the decision, not the symptom |
| Private namespace and resolver | Which domain, which server, which search suffix |
| Public name path | Confirms public names do not accidentally use the private resolver |
| Where the rule lives | Client profile, server push, OS policy or management tool |
| Owner and review date | Namespaces change owner more often than routes change |
Ir-ringiela "fejn tgħix" hija dik li n-nies jaqbiżu. Prefiss imbuttat mis-server, rotta miżjuda minn profil tal-klijent u rotta miktuba f'shell jiddifferixxu f'min jista' jibdilhom u jekk jibqgħux ħajjin wara rikonnessjoni. Mingħajr dak l-oqbra, l-inġinier li jmiss ma jistax jgħid liema mit-tlieta qed iħares lejha.
Test wieħed għal kull regola, mhux wieħed għal kull mina
Kull ringiela teħtieġ żewġ kontrolli bla ħsara: wieħed li jeżerċita r-rotta u wieħed li jeżerċita l-isem. Għar-rotta, itlob xi ħaġa li trid taqsam il-mina u kkonferma t-triq minflok l-aċċessibilità, pereżempju tracert -d 10.20.4.11 fuq Windows jew ip route get 10.20.4.11 fuq Linux. Għall-isem, staqsi l-isem privat u rreġistra liema server wieġeb, billi tuża resolvectl query files.corp.example jew dig files.corp.example kontra r-resolver li n-nota ssemmi.
Żid ukoll aspettattiva negattiva: x'għandu jiġri meta l-mina tkun mitfija. Applikazzjoni eskluża fuq apparat Android jew iOS b'imblukkar mingħajr VPN attivat jista' ma jkollhiex konnettività xejn, u klijent tal-desktop jista' jħalli l-istess app taħdem waqt li l-mina terġa' tikkonnettja. Li tirreġistra t-tweġiba maħsuba tbiddel "il-VPN kissret l-app tiegħi" fi stqarrija li tista' tiġi vverifikata.
Żomm ir-rekord mal-konfigurazzjoni
Aħżen in-nota ħdejn il-profil li tiddeskrivi u tagħtiha verżjoni ma' dak il-profil. Dokument f'wiki li ħadd ma jaġġornah huwa xnigħat; tabella fl-istess repożitorju mar-rotot imbuttati u l-politika tar-resolver tista' tiġi riveduta fl-istess bidla.
Meta xi ħaġa tinkiser, qabbel ir-rotta applikata u r-resolver effettiv mar-rekord qabel ma żżid eċċezzjoni oħra. Tnejn mit-tliet kawżi komuni — regola antika tal-ispazju tal-ismijiet u proċess assistent barra mill-politika tal-app — jidhru eżattament bħal ħsara tal-VPN u huma inviżibbli jekk in-nota telenka biss prefissi.
Qabel ma tiddikjara n-nota lesta, ikkonferma li twieġeb bil-miktub għal dawn: liema prefiss, għal liema familja ta' indirizzi; liema spazju tal-ismijiet privat, imwieġeb minn liema resolver; liema ismijiet jibqgħu pubbliku deliberatament; fejn hija kkonfigurata kull regola u min jippossediha; u l-kmand wieħed li jipprova r-rotta u dak li jipprova l-isem. Jekk xi wieħed minn dawn jonqos, l-inċident li jmiss se jiġi djanjostikat mill-bidu.