ਭੂਗੋਲਿਕ DNS ਅਤੇ anycast: ਤੁਹਾਨੂੰ ਮਿਲਣ ਵਾਲੀ VPN ਪਹੁੰਚ ਦੀ ਜਾਂਚ

ਨੇੜਲਾ DNS ਜਵਾਬ ਹੱਲ ਹੋਇਆ ਮਸਲਾ ਲੱਗਦਾ ਹੈ, ਜਦ ਤੱਕ ਕਨੈਕਸ਼ਨ ਕਿਤੇ ਹੋਰ ਨਹੀਂ ਉਤਰਦਾ। ਭੂਗੋਲਿਕ DNS ਅਤੇ anycast ਦੋਵੇਂ ਰਾਹ ਛੋਟਾ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਦੇ ਹਨ, ਅਤੇ ਇਹ ਫੈਸਲਾ ਵੱਖਰੀ ਜਾਣਕਾਰੀ ਤੋਂ ਲੈਂਦੇ ਹਨ। ਤੁਸੀਂ ਜਿਸ ਗੇਟਵੇ ਤੱਕ ਪਹੁੰਚਦੇ ਹੋ, ਉਹ ਪਹੁੰਚਯੋਗ ਹੈ, ਉਹ ਤੁਹਾਡੇ ਕਲਾਇੰਟ ਦੀ ਉਮੀਦ ਕੀਤੀ ਪਛਾਣ ਪੇਸ਼ ਕਰਦਾ ਹੈ, ਜਾਂ ਨੋਡ ਬਦਲਣ 'ਤੇ ਤੁਹਾਡਾ ਸੈਸ਼ਨ ਬਚਦਾ ਹੈ, ਇਹਨਾਂ ਵਿੱਚੋਂ ਕੋਈ ਵੀ ਗਾਰੰਟੀ ਨਹੀਂ ਦਿੰਦਾ। ਹੇਠਾਂ ਦਿੱਤੀਆਂ ਜਾਂਚਾਂ ਉਹਨਾਂ ਚਾਰ ਸਵਾਲਾਂ ਨੂੰ ਵੱਖ ਕਰਦੀਆਂ ਹਨ।

ਜਾਂਚੋ ਕਿ ਰਿਜ਼ੋਲਵਰ ਅਸਲ ਵਿੱਚ ਕਿਸ ਦਾ ਸਥਾਨ ਦੱਸਦਾ ਹੈ

ਟੋਪੋਲੋਜੀ-ਸੰਵੇਦਨਸ਼ੀਲ ਪੁੱਛਗਿੱਛ ਦਾ ਜਵਾਬ ਦੇਣ ਵਾਲਾ ਅਧਿਕਾਰਤ ਸਰਵਰ ਆਮ ਤੌਰ 'ਤੇ ਪੁੱਛਣ ਵਾਲੇ ਰਿਕਰਸਿਵ ਰਿਜ਼ੋਲਵਰ ਦਾ ਪਤਾ ਦੇਖਦਾ ਹੈ, ਨਾਮ ਟਾਈਪ ਕਰਨ ਵਾਲੇ ਵਿਅਕਤੀ ਦਾ ਪਤਾ ਨਹੀਂ। ਕੇਂਦਰੀ ਰਿਜ਼ੋਲਵਰ ਉਹਨਾਂ ਕਲਾਇੰਟਾਂ ਤੋਂ ਦੂਰ ਹੋ ਸਕਦਾ ਹੈ ਜਿਨ੍ਹਾਂ ਦੀ ਉਹ ਸੇਵਾ ਕਰਦਾ ਹੈ, ਅਤੇ ਜਵਾਬ ਉਹਨਾਂ ਦੀ ਨਹੀਂ, ਰਿਜ਼ੋਲਵਰ ਦੀ ਪ੍ਰਤੀਬਿੰਬਤ ਕਰਦਾ ਹੈ। ਇਹ ਕੋਈ ਖਰਾਬੀ ਨਹੀਂ; ਜਦ ਤੱਕ ਵਾਧੂ ਜਾਣਕਾਰੀ ਨਾ ਦਿੱਤੀ ਜਾਵੇ, ਪ੍ਰੋਟੋਕਾਲ ਅਜਿਹਾ ਹੀ ਵਿਵਹਾਰ ਕਰਦਾ ਹੈ। EDNS Client Subnet ਵਿਸ਼ੇਸ਼ਤਾ ਸੀਮਾ ਅਤੇ ਵਿਕਲਪਿਕ ਹੱਲ ਦੋਵਾਂ ਦਾ ਵਰਣਨ ਕਰਦੀ ਹੈ।

EDNS Client Subnet ਮੂਲ-ਨੈੱਟਵਰਕ ਜਾਣਕਾਰੀ ਲੈ ਕੇ ਜਾ ਸਕਦਾ ਹੈ ਜਦੋਂ ਹਰ ਭਾਗੀਦਾਰ ਇਸਨੂੰ ਸਮਰਥਨ ਅਤੇ ਸਮਰੱਥ ਕਰਦਾ ਹੈ। ਇਹ ਵਿਕਲਪਿਕ ਹੈ, ਇਸਦੇ ਪਰਦੇਦਾਰੀ ਅਤੇ ਕੈਸ਼ਿੰਗ ਪ੍ਰਭਾਵ ਹਨ, ਅਤੇ ਇਹ ਮੰਨਣ ਦੀ ਇਜਾਜ਼ਤ ਨਹੀਂ ਕਿ ਕੋਈ ਵੀ ਜਨਤਕ ਰਿਜ਼ੋਲਵਰ ਵਰਤੋਂਕਾਰ ਦਾ ਸਟੀਕ ਸਥਾਨ ਦੱਸਦਾ ਹੈ। ਇਸਦੇ ਆਲੇ-ਦੁਆਲੇ ਡਿਜ਼ਾਈਨ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਰਿਜ਼ੋਲਵਰ ਆਪਰੇਟਰਾਂ ਨੂੰ ਪੁੱਛੋ।

dig +short vpn.example.com @1.1.1.1
dig +short vpn.example.com @9.9.9.9
dig +subnet=203.0.113.0/24 +short vpn.example.com

ਜਾਂਚੋ ਕਿ anycast ਰੂਟਿੰਗ ਨੇ ਕੀ ਫੈਸਲਾ ਕੀਤਾ

anycast ਵਿੱਚ, ਕਈ ਸਥਾਨ ਇੱਕ ਸੇਵਾ ਪਤੇ ਲਈ ਪਹੁੰਚ ਦਾ ਐਲਾਨ ਕਰਦੇ ਹਨ, ਅਤੇ ਨੈੱਟਵਰਕ ਹਰ ਕਲਾਇੰਟ ਨੂੰ ਉਸ ਨੋਡ ਤੱਕ ਪਹੁੰਚਾਉਂਦਾ ਹੈ ਜਿਸਨੂੰ ਇਸਦੀ ਰੂਟਿੰਗ ਪਸੰਦ ਕਰਦੀ ਹੈ। ਇਹ ਚੋਣ ਨਕਸ਼ੇ ਦੀ ਦੂਰੀ ਨਾਲ ਨਹੀਂ, BGP ਅਤੇ ਆਲੇ-ਦੁਆਲੇ ਦੀ ਨੀਤੀ ਨਾਲ ਹੁੰਦੀ ਹੈ। ਟੋਪੋਲੋਜੀਕਲ ਨੇੜਤਾ ਆਮ ਤੌਰ 'ਤੇ ਬਿਹਤਰ ਰਾਊਂਡ-ਟ੍ਰਿਪ ਪ੍ਰਦਰਸ਼ਨ ਦੇ ਬਰਾਬਰ ਨਹੀਂ ਹੁੰਦੀ, ਕਿਉਂਕਿ ਛੋਟਾ ਦਿਸਣ ਵਾਲਾ ਰਾਹ ਭੀੜ ਵਾਲਾ ਜਾਂ ਅਸਮਮਿਤ ਹੋ ਸਕਦਾ ਹੈ। ਤੁਹਾਨੂੰ ਦਿੱਤਾ ਗਿਆ ਪਤਾ ਇਹ ਨਹੀਂ ਦੱਸਦਾ ਕਿ ਕਿਹੜੇ ਨੋਡ ਨੇ ਜਵਾਬ ਦਿੱਤਾ।

ਸੇਵਾ ਦੇਣ ਵਾਲੇ ਸਥਾਨ ਦੀ ਪੁਸ਼ਟੀ ਸੇਵਾ ਪਾਸਿਓਂ, ਜਾਂ ਉਸਦਾ ਨਾਮ ਲੈਣ ਵਾਲੇ ਜਵਾਬ ਤੋਂ ਕਰੋ, ਸਿਰਫ਼ DNS ਜਵਾਬ ਤੋਂ ਨਹੀਂ। traceroute -n 198.51.100.20 ਤੁਹਾਡੇ ਲਏ ਰਾਹ ਨੂੰ ਦਿਖਾਉਂਦਾ ਹੈ ਅਤੇ ਫਿਰ ਵੀ ਉਸਦੇ ਅੰਤ ਵਾਲੇ ਹੋਸਟ ਦਾ ਨਾਮ ਨਹੀਂ ਲੈਂਦਾ, ਇਸ ਲਈ ਇਸਨੂੰ ਜਵਾਬ ਨਹੀਂ, ਰਾਹ ਵਜੋਂ ਪੜ੍ਹੋ।

ਜਾਂਚੋ ਕਿ ਨੋਡ ਬਦਲਣ 'ਤੇ ਸੈਸ਼ਨ ਬਚਦਾ ਹੈ

DNS ਪੁੱਛਗਿੱਛ ਛੋਟੀ ਹੁੰਦੀ ਹੈ ਅਤੇ VPN ਸੈਸ਼ਨ ਲੰਮਾ, ਅਤੇ ਦੋਵਾਂ ਦੀਆਂ ਸਥਿਤੀ ਲੋੜਾਂ ਬਿਲਕੁਲ ਵੱਖਰੀਆਂ ਹਨ। ਸੈਸ਼ਨ ਦੇ ਵਿਚਕਾਰ ਰੂਟਿੰਗ ਬਦਲ ਸਕਦੀ ਹੈ, ਅਤੇ ਜਦੋਂ ਅਜਿਹਾ ਹੁੰਦਾ ਹੈ, ਬਾਅਦ ਦੇ ਪੈਕਟ ਉਸ ਨੋਡ 'ਤੇ ਪਹੁੰਚ ਸਕਦੇ ਹਨ ਜਿਸਨੇ ਤੁਹਾਡਾ ਟਨਲ ਕਦੇ ਨਹੀਂ ਦੇਖਿਆ। ਇਹ ਬਚਣਯੋਗ ਹੈ ਜਾਂ ਨਹੀਂ, ਇਹ ਲਾਗੂਕਰਨ 'ਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ: ਸਾਂਝੀ ਸਥਿਤੀ, ਜਾਣਬੁੱਝ ਕੇ ਮੁੜ ਕਨੈਕਟ, ਜਾਂ ਦਸਤਾਵੇਜ਼ੀ ਅਸਫਲਤਾ. ਸਿਰਫ਼ ਪਤਾ ਇਹਨਾਂ ਵਿੱਚੋਂ ਕੁਝ ਵੀ ਨਹੀਂ ਦਿੰਦਾ।

ਬਦਲਾਅ ਨੂੰ ਮੰਨਣ ਦੀ ਬਜਾਏ ਨਿਰੀਖਣ ਕਰੋ। ਜਦੋਂ ਰਾਹ ਬਦਲਦਾ ਹੈ ਤਾਂ sudo tcpdump -ni any -c 20 esp ਬਾਹਰੀ ਪੈਕਟ ਦਿਖਾਉਂਦਾ ਹੈ, ਅਤੇ ਸਾਥੀ ਪਤੇ ਵਿੱਚ ਅਚਾਨਕ ਬਦਲਾਅ ਹੀ ਹੋ ਰਿਹਾ ਬਦਲਾਅ ਹੈ। ਤੁਸੀਂ ਚਲਾਉਂਦੇ ਲਾਗੂਕਰਨ ਲਈ ਇੱਛਤ ਵਿਵਹਾਰ ਸਪਸ਼ਟ ਤੌਰ 'ਤੇ ਪਰਿਭਾਸ਼ਿਤ ਕਰੋ, ਫਿਰ ਰਾਹ ਬਦਲਣ ਲਈ ਮਜਬੂਰ ਕਰਕੇ ਇਸਦੀ ਜਾਂਚ ਕਰੋ। ਜੇ ਡਿਜ਼ਾਈਨ ਸੈਸ਼ਨ ਪ੍ਰਤੀਕ੍ਰਿਤੀ ਮੰਨਦਾ ਹੈ, ਤਾਂ ਕਾਰਜਵਿਧੀ ਦਾ ਨਾਮ ਦਿਓ ਅਤੇ ਉਸ ਅਸਫਲਤਾ ਦਾ ਵੀ ਨਾਮ ਦਿਓ ਜਿਸਨੂੰ ਇਹ ਨਹੀਂ ਢਕਦਾ।

ਜਾਂਚੋ ਕਿ ਪਛਾਣ ਅਜੇ ਵੀ ਮੇਲ ਖਾਂਦੀ ਹੈ

ਹਰ ਪ੍ਰਵੇਸ਼ ਬਿੰਦੂ ਨੂੰ ਉਹ ਪਛਾਣ ਪੇਸ਼ ਕਰਨੀ ਪੈਂਦੀ ਹੈ ਜਿਸਦੀ ਤੁਹਾਡਾ ਕਲਾਇੰਟ ਪ੍ਰੋਫਾਈਲ ਉਮੀਦ ਕਰਦਾ ਹੈ। ਸੇਵਾ ਨਾਮ ਲਈ ਜਾਰੀ ਸਰਟੀਫਿਕੇਟ ਨੋਡਾਂ ਭਰ ਵਿੱਚ ਕੰਮ ਕਰਦਾ ਹੈ, ਜਦੋਂ ਕਿ ਪ੍ਰਤੀ-ਨੋਡ ਸਰਟੀਫਿਕੇਟ ਕਲਾਇੰਟ ਨੂੰ ਨਵੀਂ ਚੀਜ਼ ਸਵੀਕਾਰ ਕਰਨ ਲਈ ਮਜਬੂਰ ਕਰਦੇ ਹਨ, ਅਤੇ ਵਰਤੋਂਕਾਰ ਚੇਤਾਵਨੀਆਂ ਨੂੰ ਪਾਰ ਕਰਕੇ ਕਲਿੱਕ ਕਰਨਾ ਇੱਥੇ ਹੀ ਸਿੱਖਦੇ ਹਨ। ਉਮੀਦ ਕੀਤੀ ਪਛਾਣ ਅਤੇ ਪ੍ਰੋਫਾਈਲ ਨੂੰ ਪ੍ਰਵੇਸ਼ ਮਾਡਲ ਨਾਲ ਇਕਸਾਰ ਰੱਖੋ।

ਇਸਨੂੰ ਉਸ ਕਲਾਇੰਟ ਤੋਂ ਜਾਂਚੋ ਜੋ ਕਿਸੇ ਅਸਾਧਾਰਨ ਨੋਡ 'ਤੇ ਪਹੁੰਚਿਆ, ਕਿਉਂਕਿ ਇਹੀ ਉਹ ਸਥਿਤੀ ਹੈ ਜਿੱਥੇ ਪ੍ਰਤੀ-ਨੋਡ ਸਰਟੀਫਿਕੇਟ ਦਿਸਦਾ ਹੈ। openssl s_client -connect vpn.example.com:443 -servername vpn.example.com ਚੇਨ ਅਤੇ ਨਾਮ ਪ੍ਰਿੰਟ ਕਰਦਾ ਹੈ, ਜੋ ਬਿਲਕੁਲ ਉਹੀ ਹੈ ਜਿਸਦੀ ਕਲਾਇੰਟ ਤੁਲਨਾ ਕਰਦਾ ਹੈ। ਫਿਰ ਫੈਸਲਾ ਕਰੋ ਕਿ ਪ੍ਰੋਫਾਈਲ ਸੰਕੁਚਿਤ ਕਰਨੀ ਹੈ ਜਾਂ ਸਰਟੀਫਿਕੇਟ ਮਾਡਲ ਬਦਲਣਾ ਹੈ।

ਰਿਕਾਰਡ ਦੀ ਜਾਂਚ ਕਰੋ, ਸਿਰਫ਼ ਪਹਿਲੇ ਜਵਾਬ ਦੀ ਨਹੀਂ

ਤਿੰਨ ਸਥਿਤੀਆਂ ਦਾ ਮੁਲਾਂਕਣ ਕਰੋ ਅਤੇ ਹਰ ਇੱਕ ਲਈ ਚਾਰ ਤੱਥ ਲਿਖੋ: ਆਮ ਪ੍ਰਵੇਸ਼, ਇੱਕ ਸਥਾਨ ਉਪਲਬਧ ਨਹੀਂ, ਅਤੇ ਸਹਿਮਤ ਰਿਕਵਰੀ ਕੇਸ। ਚਾਰ ਤੱਥ ਹਨ ਵਰਤਿਆ ਗਿਆ ਰਿਜ਼ੋਲਵਰ, ਵਾਪਸ ਕੀਤਾ ਪਤਾ, ਸੇਵਾ ਦੇਣ ਵਾਲਾ ਸਥਾਨ, ਅਤੇ ਨਵਾਂ ਐਪਲੀਕੇਸ਼ਨ ਨਤੀਜਾ। ਉਹ ਰਿਕਾਰਡ DNS ਚੋਣ ਸਮੱਸਿਆ ਨੂੰ ਗੇਟਵੇ ਸਮੱਸਿਆ, ਰੂਟਿੰਗ ਸਮੱਸਿਆ ਜਾਂ ਸੈਸ਼ਨ-ਸਥਿਤੀ ਸਮੱਸਿਆ ਤੋਂ ਵੱਖ ਕਰਦਾ ਹੈ। ਇਸ ਤੋਂ ਬਿਨਾਂ, ਚਾਰੇ ਕਲਾਇੰਟ ਤੋਂ ਇੱਕੋ ਜਿਹੇ ਦਿਸਦੇ ਹਨ।

dig +short vpn.example.com
getent hosts vpn.example.com
curl -s -o /dev/null -w "%{http_code}
" https://vpn.example.com/health

ਸਥਿਤੀਆਂ ਨੂੰ ਸਿਰਫ਼ ਦਫ਼ਤਰ ਤੋਂ ਨਹੀਂ, ਪ੍ਰਤੀਨਿਧ ਪਹੁੰਚ ਨੈੱਟਵਰਕਾਂ ਤੋਂ ਚਲਾਓ, ਕਿਉਂਕਿ ਪੂਰਾ ਸਵਾਲ ਇਹ ਹੈ ਕਿ ਵੱਖਰੇ ਕਲਾਇੰਟ ਅਸਲ ਵਿੱਚ ਕਿਸ ਪ੍ਰਵੇਸ਼ ਬਿੰਦੂ ਤੱਕ ਪਹੁੰਚਦੇ ਹਨ। ਇੱਕ ਨੈੱਟਵਰਕ ਇੱਕ ਦਾ ਨਮੂਨਾ ਹੈ।