DNS în AWS Client VPN: folosiți resolverul VPC, nu subnetul

Endpointul se află în 10.0.8.0/24, deci resolverul trebuie să fie 10.0.8.2. Acesta este raționamentul pe care îl aud cel mai des și este greșit de două ori. Route 53 Resolver răspunde pe intervalul IPv4 principal al VPC plus doi, care pentru un VPC de 10.0.0.0/16 este 10.0.0.2, indiferent ce subnet folosește endpointul. A doua eroare este mai silențioasă: punerea adresei corecte în endpoint nu înseamnă că sistemul de operare al clientului o întreabă vreodată ceva. Ambele erori dau același simptom: rezolvarea numelor funcționează la unii clienți și eșuează la alții.

Mitul începe de la asocierea subnetului

Asocierea se referă la locul unde stau interfețele de rețea elastice pentru conexiunile clienților, nu la ce adresă de resolver există. Subneturile endpointului dau clienților o adresă în interiorul VPC, iar niciunul nu poartă propriul resolver.

Odată ce separați cele două idei, aritmetica nu mai este misterioasă, iar depanarea trece la client, unde majoritatea acestor cazuri se termină de fapt.

Calculați adresa din intervalul principal al VPC

Luați CIDR-ul IPv4 principal al VPC și adăugați doi la adresa de rețea. 10.0.0.0/16 dă 10.0.0.2, 172.31.0.0/16 dă 172.31.0.2, iar un VPC cu interval secundar păstrează resolverul pe cel principal. Un subnet de 10.0.8.0/24 în acel VPC nu îl mută. Notați adresa lângă ID-ul VPC înainte de a atinge endpointul, pentru că numărul este o proprietate a VPC-ului, nu a conexiunii.

VPC-ul răspunde și pe adresa link-local 169.254.169.253. Acea adresă este accesibilă din interiorul VPC-ului, dar nu este o destinație rutată generală pentru un laptop la celălalt capăt al unui tunel.

Deci există două adrese de resolver valide, și niciuna dintre ele nu este subnetul plus doi.

Ce face setarea endpointului și ce nu face

Endpointul Client VPN are câmpuri de server DNS, iar unde consola oferă o opțiune de resolver VPC completează aceeași idee. Setarea lor schimbă ce predă serviciul clienților la stabilirea conexiunii. Nu schimbă ce face un client OpenVPN neadministrat cu acea valoare, pentru că clientul tot trebuie să o aplice sistemului de operare. Din acest gol vine «merge pe Mac-ul meu, dar nu pe mașina Linux».

În Linux integrarea resolverului aparține managerului de conexiuni, nu utilizatorului. Editarea manuală a /etc/resolv.conf demonstrează că adresa funcționează pentru o sesiune și apoi dispare la reconectare — de aceea atâtea cazuri reparate revin a doua zi dimineață.

Verificați resolverul activ pe client după conectare, nu pagina de configurare a endpointului.

Split tunneling poate înfrânge un resolver corect

Cu split tunneling se folosesc doar rutele împinse în tunel. Dacă adresa resolverului nu este acoperită de o rută, interogarea iese prin interfața locală și răspunde routerul de acasă. Adresa din endpoint rămâne corectă și căutarea tot eșuează. Adăugați ruta pentru resolver, apoi testați din nou.

Intervalele locale suprapuse dau același rezultat într-un mod mai neplăcut: interogarea primește răspuns, doar că de la serverul greșit.

Nu deschideți grupuri de securitate pentru adresa Amazon DNS

Instinctul când căutările expiră este să adăugați o regulă care permite UDP 53 către adresa resolverului. AWS documentează că grupurile de securitate și ACL-urile de rețea nu filtrează traficul Amazon DNS așa cum filtrează traficul către o instanță DNS proprie. Deschiderea acelor reguli nu schimbă nimic pentru resolverul VPC și lărgește granița fără motiv. Un resolver pe care îl rulați singur este alt caz și chiar are nevoie de regulile sale.

Dacă ambele apar în proiectul dvs., verificați spre care indică de fapt clientul înainte de a edita orice regulă.

Verificați calea, apoi măsurați altceva

Rezolvați un nume public, rezolvați un nume privat înregistrat într-o zonă găzduită privată asociată cu VPC-ul și citiți între ele resolverul activ al clientului. Această secvență separă «adresa resolverului este greșită» de «zona nu este asociată» și de «clientul a ignorat setarea». Fiecare are o corecție diferită, iar niciuna nu este o problemă de debit.

O căutare reușită nu spune nimic despre viteza susținută de transfer, așa că țineți cele două discuții separate când raportați.