Dva VPN-a, jedan resolver: pobjeđuje onaj koji je pisao posljednji

Dva VPN klijenta su povezana, jedan za posao i jedan za laboratorijsku mrežu, a interna imena se razrješavaju samo za klijenta koji se povezao posljednji. Taj obrazac izgleda kao greška u jednom od klijenata. Obično je to predvidljiv rezultat dvaju programa koji pišu istu konfiguraciju resolvera bez dogovora o tome kome pripada koje ime.

Mit: najnoviji VPN posjeduje DNS

Ne postoji opšte pravilo da najnovija veza pobjeđuje. Šta se dogodi zavisi od mehanizma platforme i od toga kako ga svaki klijent piše. Klijent koji zamijeni datoteku resolvera daje jedan ishod; klijent koji doda domenu po vezi daje drugi; klijent koji ne uradi ništa ostavlja prethodno stanje netaknutim.

Dakle, uočeno ponašanje je svojstvo tih dviju implementacija, a ne dokumentovani prioritet. Rasuđivanje o tome samo na osnovu reda pokretanja ponekad će biti tačno, a ponekad pogrešno na načine koje je teško ponoviti. Umjesto toga zapišite mapiranje. Dizajn koji živi u dva klijenta nije dizajn.

Povežite imenske prostore s resolverima

Navedite privatne sufikse i resolver koji svaka mreža zahtijeva, pa odlučite kuda trebaju ići javna imena. Taj spisak je dizajn. Bez njega klijenti odlučuju slučajno.

Platforma koja podržava DNS po vezi ili domene usmjeravanja može svjesno izraziti podjelu: jedna domena ide na jednu vezu, druga domena na drugu, a sve ostalo slijedi izričit podrazumijevani izbor. Dvije ravne skripte koje prepisuju istu datoteku ne mogu sačuvati taj dizajn, jer svaka vjeruje da posjeduje cijelu konfiguraciju.

Na Windowsu tabela politike razrješavanja imena može usmjeriti sufikse na određene servere, a VPN klijent može tamo instalirati pravila. Provjerite politiku, a ne spisak adaptera, jer spisak adaptera nije ono što razrješava ime.

Zadržite bootstrap putanju

Svaki klijent mora pronaći vlastitu krajnju tačku prije nego što može koristiti uslugu koju ta tačka pruža. Ako se ime hosta krajnje tačke može razriješiti samo kroz tunel, a tunelu treba razriješeno ime hosta, imate kružnu zavisnost koja se pojavljuje kao tajmaut veze. Zadržite jednu bootstrap putanju izvan oba tunela. Ona ne košta ništa do dana kada spasi vezu.

Gledajte putanju do svakog resolvera, ne samo ime konfigurisano za njega. Resolver do kojeg se može doći samo kroz drugi tunel ponaša se kao da nedostaje, a simptom je tajmaut, a ne greška usmjeravanja.

Preklapajuće adrese nisu DNS problem

Dvije privatne mreže koje koriste isti raspon adresa ne mogu se popraviti redom DNS-a. Ako oba tunela traže 10.0.0.0/8, ime koje se ispravno razriješi i dalje pokazuje na adresu na koju host ne može usmjeriti pravi tunel. To zahtijeva rješenje na razini adresa, poput različitih raspona, imenskog prostora ili prevođenja, a ne još jednu postavku resolvera. Rano donošenje te odluke sprječava dugo zaobilaženje kroz DNS konfiguraciju koja nikada ne bi radila.

Uporedite dodjele adresa oba tunela prije nego okrivite razrješavanje imena. Kada oba partnera guraju isti prefiks, host zadržava jednu rutu za njega, a ime razriješeno kroz drugi tunel i dalje završava na adresi koju posjeduje prvi tunel. Različiti rasponi, imenski prostor po mreži ili prevođenje su ispravke; nakon što se svaki klijent poveže, potvrdite da tabela ruta pokazuje putanju koju ste namjeravali.

Dokažite to stvarnim aplikacijama

Odaberite dva hosta koja postoje samo unutar vlastitog imenskog prostora i jedno javno ime, pa razriješite svako kroz klijent koji bi ga trebao posjedovati. Ispravan odgovor od očekivanog resolvera ne dokazuje da aplikacija dolazi do hosta, jer ruta do te adrese i dalje može zakazati. Nakon svakog upita izvedite test veze iz programa koji će korisnik stvarno pokrenuti.

Klijent s vlastitom opcijom šifriranog DNS-a može zaobići politiku koju ste upravo provjerili, pa provjerite tu postavku kao dio pregleda. Zatim ponovo povežite oba klijenta redom koji dobavljač podržava i ponovite upite; ako se odgovori zamijene kada se red promijeni, konkurentski zapis i dalje posjeduje dio konfiguracije. Otkrijte koja komponenta instalira pravilo - klijent, profil operativnog sistema ili agent za upravljanje - prije nego bilo šta uredite. Zapišite red i vlasnike da ih sljedeća osoba ne mora ponovo otkrivati.