Wędrujący laptop: stabilna nazwa czy stały adres biura?

Otwierasz konsolę zarządzania z domu, szukasz laptopa po nazwie i dostajesz adres, który przestał być ważny, gdy opuścił biuro. Odruchem jest przeniesienie adresu biura na adapter VPN, żeby wszystko działało dalej. Ta poprawka zwykle psuje coś innego, bo znalezienie urządzenia, zezwolenie na jego ruch i utrzymanie sesji przy życiu to trzy różne problemy. Rozdziel je, zanim wybierzesz projekt adresacji.

Rozdziel trzy wymagania

Zapisz, które z trzech naprawdę zawodzi. Osoba lub narzędzie nie znajduje usługi; serwer odrzuca żądania, bo adres źródłowy nie jest na liście; albo aplikacja spada, gdy zmienia się interfejs. W arkuszu wyglądają tak samo i wymagają różnych poprawek.

Większość skarg dotyczących roamingu trafia do pierwszego koszyka i jest naprawiana w DNS. Nadanie stabilnej tożsamości jest tanie i obejmuje pierwszy przypadek. Zachowanie adresu jest drogie i pomaga drugiemu tylko wtedy, gdy polityka i tak zostanie przepisana.

Uczyń nazwę rzeczą stałą

Daj laptopowi nazwę, która rozwiązuje się na dowolny adres osiągalny przez wywołującego. W tym przykładzie adres biura to 192.168.50.42, pula dostępu zdalnego przydziela 10.90.0.42, a laptop17.corp.example podąża za przyłączeniem. Nic nie wymaga zgodności ostatniego oktetu, a projektowanie wokół tej zgodności tworzy pracę bez korzyści. Rekord powinien wskazywać adres, którego wywołujący naprawdę może użyć, a nie każdy interfejs, jaki laptop kiedykolwiek miał.

dig +short laptop17.corp.example

Resolvery buforują odpowiedzi, więc zmiana nie jest natychmiastowa dla wszystkich. Krótkie TTL pomagają, a logika ponownego łączenia w aplikacji pomaga bardziej.

Gdy lista dozwolonych źródeł jest prawdziwym ograniczeniem

Lista dozwolonych źródeł widzi adres, który otrzymuje chroniona usługa, po każdym tłumaczeniu. Często jest to adres bramy lub NAT, a nie samego laptopa, dlatego edycja rekordów DNS nigdy nie naprawia odrzuconego żądania. Zaktualizuj politykę dla adresu, który naprawdę przychodzi, albo zastąp listę uwierzytelnioną tożsamością.

Przechwyć jedno zaakceptowane żądanie na serwerze i odczytaj pole źródła, a następnie powtórz je ze ścieżki zdalnej. Jeśli dwa adresy się różnią, polityka potrzebuje dwóch wpisów lub innego mechanizmu. Zapisz oba adresy wraz z wpisem polityki, aby następna osoba zobaczyła, dlaczego są dwa. Ponowne użycie adresu, który jest już aktywny na tym samym łączu to odrębny problem konfliktu z własnymi regułami wykrywania.

Czego naprawdę wymaga ciągłość

Ciągłość połączenia jest najtrudniejszym wymaganiem i tym najczęściej źle rozumianym. Połączenie TCP jest identyfikowane przez oba adresy i oba porty, więc nowy adres lokalny to inne połączenie, cokolwiek mówi DNS. Aplikacje, które mają znaczenie, muszą połączyć się ponownie, co oznacza warstwę sesji lub klienta, który ponawia próbę, a nie sieciową sztuczkę. Obserwuj sesję podczas przenoszenia, a zerwanie jest natychmiastowe, nie stopniowe.

ss -tnp state established '( dport = :443 )'

Klonowanie adresu MAC też tego nie rozwiązuje. Tożsamość dzierżawy DHCP może używać jawnego identyfikatora klienta, a dwa interfejsy dzielące jedną tożsamość nadal potrzebują skoordynowanych tras. Traktuj mobilność jako projekt aplikacji i przydziału, i utrzymuj tożsamość urządzenia stabilną, gdy jego adres podąża za siecią.