Zašto SRV zapis pomaže samo klijentu koji ga sam pita

Dodavanje SRV zapisa u vašu zonu ne uči nijedan VPN klijent da ga traži. Klijent mora znati oznaku, odlučiti poslati upit i postupiti prema onome što se vrati, a DNS ne može pružiti prva dva od toga. Zato je većina neuspelih SRV planova klijentski problem u DNS odelu. Prvo pročitajte ponašanje klijenta pri otkrivanju, a zatim objavite samo oznaku koju zaista pita.

Zapis koji nitko ne pita ne može nikome pomoći

SRV objavljuje lokaciju usluge; on je ne najavljuje. Ništa ne gura zapis prema klijentu, i nijedan resolver ne nudi ime koje nikada nije traženo. Pretraga počinje kad aplikacija odluči da je izvede, pa oznaka mora doći iz dokumentacije proizvoda ili iz posmatranja softvera na mreži. Gdje klijent nema korak otkrivanja, zapis mijenja zonu i ništa drugo.

Zato jedan proizvod na mreži može početi raditi dok drugi nije pogođen istom promjenom. Varijabla je softver, a DNS server radi točno ono što mu je rečeno. Pročitajte zonu ponovo nakon izmjene, jer se pogrešno otkucana oznaka lako skriva među zapisima koji svi izgledaju isto.

Pročitajte polja prije nego što ih upišete

Zapis nosi četiri vrijednosti i svaka odgovara na drugo pitanje: prioritet poreda ciljeve koje klijent može isprobati, težina dijeli opterećenje među ciljevima jednakog prioriteta, port imenuje transportni port, a cilj imenuje host. Specifikacija takođe dopušta da cilj . znači da je usluga namjerno nedostupna, što je koristan odgovor, a ne pokvaren.

Nijedno od tih polja ne nosi akreditive, politiku certifikata ili verziju aplikacije, a klijent koji ignorira težinu ipak se povezuje, samo bez predviđene ravnoteže. Cilj treba vlastite zapise adresa i treba biti kanonsko ime, a ne alias. Objavljivanje zapisa koji pokazuje na host bez slušaoca stvara grešku povezivanja koja se čita kao kvar DNS-a, a to je najskuplja vrsta obmane. Objavite cijeli lanac ili ništa od njega.

Pronađite oznaku koju klijent zaista šalje

Utvrdite oznaku na osnovu dokaza, a ne nagađanja o imenu proizvoda. Ili dokumentacija navodi ime usluge, ili snimka pokazuje upit koji klijent šalje pri pokretanju. Oba puta završavaju na istom mjestu: tačno ime i tip za provjeru kod resolvera.

dig +short SRV _vpn._tcp.gw.example
dig +short A edge2.gw.example
tcpdump -ni any udp port 53

Uporedite odgovor sa zapisom koji ste objavili, znak po znak, jer su donje crte i tačka na kraju dio imena. Prazan odgovor na upit koji je zaista poslan upućuje na zonu, dok potpuno odsustvo upita upućuje na klijenta, a ti nalazi vas vode različitim timovima. Pravi odgovor izgleda kao red ispod, gdje prioritet 20 gubi od svakog zapisa nižeg prioriteta i klijent bira port 8443 na navedenom cilju.

_vpn._tcp.gw.example. 600 IN SRV 20 10 8443 edge2.gw.example.

Cilj takođe mora postojati

Cilj koji se razrješava nije isto što i usluga koja odgovara. Provjerite zapise adresa za cilj, zatim provjerite da nešto sluša na objavljenom portu i protokolu. TCP zapis koji pokazuje na slušaoca samo za UDP je nesklad koji nikakvo uređivanje zone ne popravlja. Držite TTL kratkim dok je cilj nestabilan, i produžite ga kad se ime prestane kretati.

Klijenti koji ipak izvode otkrivanje razlikuju se u tome koliko zapisa poštuju. Neki koriste samo prioritet, neki tretiraju težinu kao savjet, a poneki ignoriraju port i pretpostavljaju zadanu vrijednost. Te razlike pripadaju u vaše bilješke uz oznaku, jer objašnjavaju ponašanje koje inače izgleda kao kvar resolvera.

Otkrivanje nije autentikacija

SRV odgovor kaže gdje se povezati, i ne kaže ništa o tome kome vjerovati kad stignete. Ostavite provjeru certifikata i provjere identiteta servera u klijentu točno kakve su bile, jer zapis koji neko drugi može krivotvoriti ne smije postati odluka o povjerenju. DNS odgovori se keširaju i mijenjaju od strane onoga ko kontroliše zonu, što ih čini lošim mjestom za kodiranje politike.

Za klijenta bez podrške za otkrivanje, podijelite profil ili URL pristupnika koji prihvata, i zabilježite koji proizvod koristi koju metodu. Ta bilješka sprječava sljedećeg administratora da doda zapis i očekuje da će raditi svuda. Specifikacija SRV opisuje odabir među ciljevima, a čitanje toga kao mehanizma autorizacije način je na koji koristan zapis postaje sigurnosna pretpostavka. Objavljujte namjerno, navedite oznaku u dokumentaciji i tretirajte klijenta kao komponentu koja odlučuje ima li išta od toga smisla.