د AWS Client VPN پای ټکي DNS: ولې د حل شوې IP ټینګول ناکام شي
د AWS Client VPN د پای ټکي نوم په هغه پته بدل کړئ چې تاسو حل کړې، او تونل به وروسته کار کول بند کړي. صادر شوی نوم او د هغې تصادفي مخکښ وساتئ.
تیره اونۍ dig +short تاسو ته ستاسو د AWS Client VPN پروفایل کې د پای ټکي نوم لپاره یو پته ورکړه، او تونل وصل شو. دا اونۍ هماغه پروفایل ستاسو په لپ ټاپ کې پر 'Connecting' ولاړ دی، په داسې حال کې چې د همکار نا لاس وهل شوې کاپي لا هم کار کوي. هیڅ شی بند نه شو او سند پای ته ونه رسید. چا د پای ټکي هوسټ نوم په هماغه حل شوې پتې بدل کړ، او خدمت نور هلته ځواب نه ورکوي. صادر شوی نوم هغه برخه ده چې د دې بدلون د زغملو لپاره جوړه شوې ده.
ستاسو په پروفایل کې نوم ممکن هغه نوم نه وي چې پوښتل کیږي
له Client VPN څخه صادر شوي پروفایلونه معمولاً remote-random-hostname لري. کله چې دا انتخاب فعال وي، کلاینټ یو یوځله لیبل جوړوي، په نقطه یې د پای ټکي نوم سره یوځای کوي، او یوځای شوی نوم حل کوي. د پای ټکي په زون کې وایلډکارډ ریکارډ هر لیبل ته ځواب ورکوي، ځکه جوړ شوی مخکښ هم حل کیږي او ځکه دا چل د لاسي پوښتنې د تکرار هڅې پر مهال پټ پاتې کیږي.
نو کله چې تاسو د پای ټکي نوم ټرمینل ته ونیسئ او ځواب واخلئ، تاسو له هغه نوم څخه بل نوم حل کړی دی چې کلاینټ یې د وصل کیدو پر مهال کاروي. دا ناسم والی د پروفایل کې د سمولو نقص نه دی. لیبل په قصد بیا جوړیږي: دا انتخاب د حافظو مخه نیسي چې زوړ ځواب ونه ساتي، او دا هېڅکله ستاسو ماشین یا ناسته نه پیژني.
ما د سازښت هغه حالت تجربه کړی چې کلاینټ انتخاب په بشپړه توګه له پامه غورځوي. AWS حل مستند کوي: اصلي پای ټکی نوم وساتئ او مخې ته یې یوه تصادفي تړونکی او نقطه اضافه کړئ، دا د لیږدوونکي ارزښت په توګه نه بلکې د نوم ایښودنې بڼې په توګه وګورئ. دا په زوړ کلاینټ تطبیقول معقول دي؛ د مخکښې تړونکې لښتې د پای ټکي په توګه کلک کوډ کول نه دي.
ولې ساتل شوی ځواب سم پاتې نشي
د Client VPN پای ټکي پتې AWS مدیریت کوي او په وخت کې بدلیږي، کوم چې د غوره کړنو سند په روښانه توګه وایي. نیول شوی ځواب د یو حل یوه انځورنه ده. هغه پروفایل چې دا کلک کوډ کوي، د خدمت په لېږد سره سم د وتلي کوربه په لور د هدف پروفایل کیږي، او ناکامي په ندرت سره د DNS په څېر ښکاري: تاسو د وصل کیدو وخت ماتې یا ټینګ شوی handshake ترلاسه کوئ، نو خلک د لارښوونې او سندونو پسې ګرځي.
په /etc/hosts کې هماغه ځواب هماغه پای او یوه اضافي ستونزه په میراث وړي. د hosts ننوتل بیا پیل، بیا صادرولو او 'کلاینټ بیا نصب کړئ' سمونونو څخه ژغورل کیږي، نو هر کله چې پته بدله شي ناکامي بیرته راځي. ما یو لیدلی چې اونۍ بې ضرره پراته و، بیا یې هر هغه ماشین بند کړ چې دا یې وړه، په داسې حال کې چې نوي نصبونه نورمال وصلیدل. دا وېش، یوه ډله ناکامه او بله په هماغه حساب کې سمه، ترټولو ارزانه نښه ده چې ترلاسه کوئ.
د تصادف کولو ساحه سمه وټاکئ. دا د هرې وصل کیدو هڅې لپاره پیښیږي. جوړ شوی تونل خپل پای ټکی بیا حل نه کوي، د ناستې په مینځ کې سرور نه بدلوي، او انفرادي غوښتنلیک غوښتنې هره یوه نوې VPN کوربه نه ټاکي. یوازې بله هڅه بیا حل کوي، ځکه هغه ناسته چې ټوله ماسپښین کار کوي د سبا سهار په اړه هیڅ نه وایي.
کله چې تونل پورته شي خدمت څه ګوري
Client VPN غواړي چې هغه پته چې تاسو ورسره وصل یاست د پای ټکي DNS نوم لپاره حل شوې پتې سره سمه وي. همدا یوه شرط څو بې تړاوه ښکاریدونکې ناکامۍ تشریح کوي: دودیز DNS ریکارډ چې بل ځای ته اشاره کوي، دودیز frontend چې اصلي پای ټکي پتې ته لیږدوي، او پروفایل چې په خامې پتې بیا لیکل شوی. AWS د دودیز ریکارډ او لیږد ترکیب د نویو AWS کلاینټونو سره ناکامي بولي. څیړنه تنګه ده؛ دا د هر لقب د بندیز حکم نه دی.
دا د VPN پروتوکولونو په اړه عمومي قاعده هم نه ده. عددي remote په عادي OpenVPN ځای پرځای کولو کې بشپړ معتبر دی، او ډیرې یې همداسې ځي. محدودیت له مدیریت شوې چوکاټ څخه راځي، نه له لاندې پروتوکول څخه.
کوم چې د سند تصدیق نرمول غلط عکس العمل جوړوي. که پته بدلون وروسته پروفایل ناکام شي، د سرور تصدیق بندول د حل یا د پتې سمون شرط د سمولو پر ځای تېروتنه لېږدوي، او هغه کلاینټ پریږدي چې هر څه باور کوي. صادر شوی CA، سرور تصدیق او متقابل تصدیق تنظیمات په هماغه ډول وساتئ لکه چې راغلي.
د اجازې لیستونه، وتنه او شخصي DNS درې جلا ستونزې دي
هغه فایرول قاعده چې باید د لپ ټاپ د وصل کیدو دمخه یوه منزل ته اجازه ورکړي د بهرني اوریدونکي په اړه ده. د شبکې مالک ته د پای ټکي نوم، ټرانسپورټ او تنظیم شوی پورټ ورکړئ، بیا وپوښتئ چې ایا د دوی کنټرول د خدمت DNS چلند تعقیبولی شي. یوه قاعده چې یوه نیول شوې پته ساتي له ناليکل شوې پای سره انځورنه ده. که کنټرول یوازې نه بدلیدونکې منزلونه مني، دا تشه د خپریدو دمخه حل کړئ نه دا چې په خاموشۍ ځواب کلک کوډ کړئ.
هغه شریک چې د تونل له پورته کیدو وروسته غوښتنو لپاره ثابته سرچینه پته غواړي بل شرط لري: وتنه. هغه څه چې یو ویب پاڼه یې ویني د غوښتنلیک لارې او د ویشل شوي تونل پالیسي پورې اړه لري، نه د هغې پتې پورې چې کلاینټ ورسره وصل شو. د ویشل شوي تونل ټرافیک ممکن AWS ته هیڅ ونه رسیږي.
د تونل دننه شخصي DNS دریمه طبقه ده. هغه حل کوونکی چې کلاینټونو ته ورکول کیږي د وصل کیدو وروسته داخلي نومونو ته ځواب وایي؛ دا د تونل له موجودیت دمخه عامه پای ټکی نشي حل کولی. د پای ټکي د حل ناکامي او د داخلي غوښتنلیک د حل ناکامي په بېلو پړاوونو کې پیښیږي، او د دوی ګډول تاسو غلط لاګ ته لیږي.
د پتو کورنۍ په هماغه لیست کې ده. IPv4 ځواب د IPv6 یا دوه ګوني سټیک پای ټکي د اجازه شوې لارې په اړه هیڅ نه وایي، نو په یوه کورنۍ کې اخیستل شوې انځورنه د بلې لپاره ثبوت نه ده.
پرته له دې چې څه وتړئ یوه اړیکه وګورئ
له هماغه پروفایل څخه پیل وکړئ لکه چې صادر شوی، او ولولئ چې واقعاً څه غواړي:
grep -nE '^remote|remote-random-hostname' profile.ovpn
dig +short cvpn-endpoint-ID.prod.clientvpn.REGION.amazonaws.com
ss -tnp | grep -E ':(443|1194)'بیا درې شیان پرتله کړئ: په پروفایل کې پای ټکی نوم، هغه پته چې کلاینټ د نوې هڅې لپاره راپور ورکوي، او دا چې نوم اوس څه ته حل کیږي. حل شوی نوم یوازې دا ثبوي چې ریکارډ ځواب وایي؛ ټرانسپورټ او تصدیق جلا دي، او پای ټکی اړ نه دی چې ping ته ځواب ووایي. د کلاینټ خپل لاګ د مینځني توکي یوازینی سرچینه ده، نو د هڅې پر مهال یې ثبت کړئ، وروسته نه.
| What you see | Usual cause | Next check |
|---|---|---|
| One machine fails, others connect | Pinned address or stale hosts entry on that machine | Diff its profile and hosts file against a working copy |
| Everyone fails at once, no config change | The endpoint address rotated | Confirm the current endpoint configuration with the account owner |
| Tunnel up, internal names fail | Client DNS policy, not endpoint resolution | Inspect the resolver pushed after connection |
نن ځواب ورکوونکې پته د نن په اړه ثبوت دی؛ نوم هغه شی دی چې خدمت یې معتبر ساتي. مشاهده ولیکئ، د پای ټکي مالک ته یې ولیږئ، او پروفایل نوم ته اشاره کوونکی پریږدئ.
دوه عادتونه چې باید پرېښودل شي: د ټینګ شوي handshake د تیرولو لپاره د سند څیړنې بندول، او د پای ټکي نوم مخې ته لیبلونه دېرول په دې هیله چې یو به ونیسي. لیبل د وایلډکارډ ریکارډ له لارې حل کیږي یا ستونزه بل ځای ده. که سم تنظیم شوی پروفایل لا هم ناکام شي، اوږد هوسټ نوم نه، دقیقه پوښتنه او د وصلیدو پیښه ولیږئ.
د بندولو دمخه: پروفایل لا هم صادر شوی پای ټکی نوم لري، هیڅ hosts فایل پته نه ټینګوي، د کلاینټ لاګ remote د اوسني حل سره سمون لري، او فایرول قاعده د پتې پر ځای پای ټکی نوموي. دا هغه حالت هم دی چې بل کس ته سپارل کیږي.