VPN ruting zasnovan na domenima protiv IP ruta: šta odgovara?
Ime hosta u kutiji za podijeljeni tunel nije ruta. Uporedite pravila domena i eksplicitne prefikse po osvježavanju, obuhvatu poddomena i onome što se dešava kada se DNS promijeni.
IP ruta se poklapa s prefiksom adrese, a kernel je primjenjuje bez dodatnih pitanja. VPN pravilo zasnovano na domenu poklapa se s imenom, što znači da nešto u steku mora odlučiti koje adrese to ime trenutno označava i održavati tu odluku ažurnom. To su različiti mehanizmi s različitim načinima kvara, a proizvođači koriste istu riječ za oba. Upoređivanje na listama funkcija promašuje poentu; uporedite ih po tome šta se dešava kada se odgovor promijeni.
Korisna podjela je između pravila koje razrješava i pravila koje ne razrješava.
S čime svako pravilo zapravo poklapa
Pravilo prefiksa poklapa se s odredišnim adresama u tabeli rutiranja. Ništa se ne razrješava, ništa ne ističe, a poklapanje je tačno za svaki paket. Pravilo domena poklapa se sa zahtjevom aplikacije za imenom, koje RFC 1034 definiše kao stablo oznaka, a ne kao adresu. Neki proizvodi razriješe ime jednom i instaliraju dobijene adrese kao rute, što pravilo čini IP pravilom s pridodatim tajmerom za osvježavanje.
Znajte koje od to dvoje imate prije nego što počnete s otklanjanjem grešaka, jer kvar izgleda potpuno drugačije u svakom slučaju.
Gdje pravilo domena živi u steku
Ako proizvod implementira pravila domena kroz lokalni proksi, saobraćaj mora doći do tog proksija, a aplikacije koje ignorišu sistemski proksi u potpunosti zaobilaze pravilo. Ako ih implementira razrješavanjem imena i dodavanjem ruta, adrese su svježe samo do posljednjeg osvježavanja. Ako se kači na rezolver, ponašanje DNS-a postaje dio politike rutiranja, a rezervni rezolver to može tiho poništiti.
Čitajte model proizvođača, a ne oznaku u postavkama. Dva klijenta s kutijom pod nazivom Split Tunnel mogu raditi tri različite stvari.
Uporedite šta se kvari
Tri stvari se kvare na različite načine. Promjena adresa: ime hosta CDN-a može se razriješiti u drugačiji skup adresa u roku od nekoliko minuta, pa kopirana lista brzo stari. Obuhvat poddomena: pravilo za example.com može ili ne mora pokrivati api.example.com, a dokumentacija je obično jasna o tome koji je slučaj. Neuspjeh razrješavanja: kada rezolver zakaže, klijent koji razrješava može se vratiti na tuneliranje saobraćaja ili na njegovo direktno slanje.
Samo je drugo pitanje konfiguracije. Druga dva su pitanja dizajna o tome koliko je proizvod spreman nagađati.
| Behaviour | Prefix rule | Domain rule |
|---|---|---|
| Match basis | destination address | requested name or resolved addresses |
| Staleness | none | depends on refresh policy |
| Subdomain scope | not applicable | product-defined |
| Resolver outage | unaffected | product-defined fallback |
| Where to debug | routing table | client log plus resolver state |
Kada je prefiks bolji odgovor
Za stabilnu privatnu podmrežu eksplicitni prefiks je jasniji, brži i lakši za reviziju. Takođe preživljava ispad rezolvera, jer ništa ne treba razrješavati. Posegnite za pravilom domena kada je usluga hostovana, kada se adrese rotiraju ili kada zaista ne možete nabrojati skup odredišta. Ne posežite za njim samo zato što je ime hosta ono što slučajno znate.
Nagađana statična lista je najgore od oba: izgleda održavano i tiho promašuje saobraćaj onog dana kada provajder doda host.
Provjerite svježim zahtjevom
Testirajte hladnim zahtjevom nakon normalnog ponovnog povezivanja, jer keširana stranica možda nikada neće dotaknuti pravilo. Razriješite ime, zatim provjerite kuda je veza zaista otišla. dig +short app.example.com daje trenutni skup adresa, a klijentov spisak veza govori vam koji je interfejs nosio tok.
Ponovite nakon intervala osvježavanja koji proizvod dokumentuje. Ako se skup adresa pomjeri, a pravilo ga ne prati, pronašli ste stvarno ponašanje.
Držite i politiku rezolvera odvojeno. Pravilo domena treba tačne podatke o imenima, ali samo po sebi ne odlučuje koji rezolver odgovara na upit.