AWS Client VPN අන්ත ලක්ෂ්‍ය DNS: විසඳන ලද IP අගුලු දැමීම ඇයි අසාර්ථක වන්නේ
AWS Client VPN අන්ත ලක්ෂ්‍යයේ නාමය ඔබ විසඳූ ලිපිනයෙන් ප්‍රතිස්ථාපනය කරන්න, පසුව උමග ක්‍රියා කිරීම නවතී. අපනයනය කළ නාමය සහ එහි අහඹු පූර්ව යෙදුම රඳවා ගන්න.
පසුගිය සතියේ dig +short ඔබේ AWS Client VPN පැතිකඩෙහි අන්ත ලක්ෂ්‍ය නාමය සඳහා ලිපිනයක් ලබා දුන් අතර, උමග සම්බන්ධ විය. මෙම සතියේ එම පැතිකඩම ඔබේ ලැප්ටොප් එකේ 'Connecting' තත්ත්වයේ රැඳී ඇති අතර, සහෝදරයාගේ නොස්පර්ශිත පිටපත තවමත් ක්‍රියා කරයි. කිසිවක් අවහිර නොකළ අතර සහතිකය කල් ඉකුත් නොවීය. කෙනෙක් අන්ත ලක්ෂ්‍ය සත්කාරක නාමය එම විසඳන ලද ලිපිනයෙන් ප්‍රතිස්ථාපනය කළ අතර, සේවාව එහි තවදුරටත් පිළිතුරු දෙන්නේ නැත. අපනයනය කළ නාමය එම වෙනසට ඔරොත්තු දීමට ගොඩනගා ඇති කොටසයි.
ඔබේ පැතිකඩෙහි ඇති නාමය විමසන නාමය නොවිය හැක
Client VPN වෙතින් අපනයනය කරන පැතිකඩවල සාමාන්‍යයෙන් remote-random-hostname අඩංගු වේ. එම විකල්පය ක්‍රියාත්මක විට, සේවාලාභියා එක් වරක් භාවිත ලේබලයක් ගොඩනගා, තිතකින් අන්ත ලක්ෂ්‍ය නාමයට එකතු කර, ඒකාබද්ධ නාමය විසඳයි. අන්ත ලක්ෂ්‍යයේ කලාපයේ වයිල්ඩ්කාඩ් වාර්තාව ඕනෑම ලේබලයකට පිළිතුරු දෙයි, එබැවින් නිර්මිත පූර්ව යෙදුමක් ද විසඳෙන අතර, විමසුම අතින් නැවත නිර්මාණය කිරීමට උත්සාහ කරන විට මෙම උපක්‍රමය අදෘශ්‍යමාන වේ.
එබැවින් ඔබ අන්ත ලක්ෂ්‍ය නාමය පර්යන්තයට අලවා පිළිතුරක් ලබා ගැනීමේදී, සේවාලාභියා සම්බන්ධ වන විට භාවිත කරන නාමයට වඩා වෙනත් නාමයක් ඔබ විසඳා ඇත. එම විෂමතාව පැතිකඩෙහි නිවැරදි කළ යුතු දෝෂයක් නොවේ. ලේබලය හිතාමතාම නැවත ජනනය වේ: විකල්පය මඟින් සුරක්ෂිතාගාරවලට පැරණි පිළිතුරක් තබා ගැනීම වළක්වයි, සහ එය කිසිදා ඔබේ යන්ත්‍රය හෝ සැසිය හඳුනා නොගනී.
සේවාලාභියා විකල්පය සම්පූර්ණයෙන් නොසලකා හරින අනුකූලතා අවස්ථාව මට හමු වී ඇත. AWS විසඳුම ලේඛනගත කරයි: සැබෑ අන්ත ලක්ෂ්‍ය නාමය තබා ඉදිරියෙන් අහඹු තන්තුවක් සහ තිතක් එකතු කරන්න, එය අලවන අගයක් ලෙස නොව නාමකරණ රටාවක් ලෙස සලකන්න. එය පැරණි සේවාලාභියෙකුට යෙදීම සාධාරණය; පූර්ව යෙදුම සහිත තන්තුව අන්ත ලක්ෂ්‍යය ලෙස දෘඩ කේතනය කිරීම නොවේ.
සුරකින ලද පිළිතුරක් නිවැරදිව රැඳී සිටිය නොහැක්කේ ඇයි
Client VPN අන්ත ලක්ෂ්‍ය ලිපින AWS මඟින් කළමනාකරණය කරන අතර කාලයත් සමඟ වෙනස් වේ, එය හොඳම පිළිවෙත් ලේඛනය පැහැදිලිව පවසයි. ග්‍රහණය කරන ලද පිළිතුරක් යනු එක් විසඳුමක ස්නැප්ෂොට් එකකි. එය දෘඩ කේතනය කරන පැතිකඩක් සේවාව මාරු වූ විටම ඉවත් කළ සත්කාරකයක් ඉලක්ක කරන පැතිකඩක් බවට පත් වේ, සහ අසාර්ථකත්වය බොහෝ විට DNS ලෙස නොපෙනේ: ඔබට සම්බන්ධතා කාල ඉකුත්වීමක් හෝ නතර වූ හස්ත සම්ප්‍රේෂයක් ලැබේ, එබැවින් මිනිසුන් මාර්ගගත කිරීම සහ සහතික පසුපස හඹා යති.
/etc/hosts හි එම පිළිතුරම එම කල් ඉකුත්වීම අමතර ගැටලුවක් සමඟ උරුම වේ. hosts සටහන නැවත ඇරඹීම්, නැවත අපනයන සහ 'සේවාලාභියා නැවත ස්ථාපනය කරන්න' අලුත්වැඩියාවලින් ගැලවේ, එබැවින් ලිපිනය මාරු වන සෑම විටම අසාර්ථකත්වය නැවත පැමිණේ. එකක් සති ගණනක් හානිකර නොවී තිබී, පසුව එය දරන සෑම යන්ත්‍රයක්ම අක්‍රීය කරන අයුරු මම දැක ඇත, එහෙත් නව ස්ථාපන සාමාන්‍ය ලෙස සම්බන්ධ විය. එකම ගිණුමේ එක් කණ්ඩායමක් අසාර්ථක වී අනෙක සුවපත් වීම යන මෙම බෙදීම ඔබට ලැබෙන ලාභම සලකුණයි.
අහඹුකරණයේ විෂය පථය නිවැරදිව නිර්ණය කරන්න. එය සෑම සම්බන්ධතා උත්සාහයකටම සිදු වේ. ස්ථාපිත උමගක් එහි අන්ත ලක්ෂ්‍යය නැවත විසඳන්නේ නැත, සැසිය මැදින් සේවාදායක මාරු නොකරයි, සහ තනි යෙදුම් ඉල්ලීම් එකින් එක නව VPN සත්කාරකයක් තෝරන්නේ නැත. ඊළඟ උත්සාහය පමණක් නැවත විසඳයි, එබැවින් සවස් වරුව පුරා ක්‍රියා කරන සැසියක් හෙට උදෑසන ගැන කිසිවක් නොකියයි.
උමග ඉහළ යන විට සේවාව පරීක්ෂා කරන දේ
Client VPN ඉල්ලා සිටින්නේ ඔබ සම්බන්ධ වී සිටින ලිපිනය අන්ත ලක්ෂ්‍යයේ DNS නාමය සඳහා විසඳන ලද ලිපිනයකට ගැලපිය යුතු බවයි. එම එක් අවශ්‍යතාව සම්බන්ධයක් නැති ලෙස පෙනෙන අසාර්ථකතා කිහිපයක් පැහැදිලි කරයි: වෙනත් තැනකට යොමු වන අභිරුචි DNS වාර්තාවක්, සැබෑ අන්ත ලක්ෂ්‍ය ලිපිනයට යොමු කරන අභිරුචි ඉදිරිපස, සහ අමු ලිපිනයකට නැවත ලියන ලද පැතිකඩක්. AWS අභිරුචි වාර්තාව සහ යොමු කිරීමේ සංයෝජනය නවතම AWS සේවාලාභීන් සමඟ අසාර්ථකත්වයක් ලෙස ලේඛනගත කරයි. පරීක්ෂාව පටු ය; එය සෑම අන්වර්ථයක්ම තහනම් යන විනිශ්චයක් නොවේ.
එය VPN ප්‍රොටොකෝල පිළිබඳ සාමාන්‍ය රීතියක් ද නොවේ. සංඛ්‍යාත්මක remote සාමාන්‍ය OpenVPN යෙදවීමක සම්පූර්ණයෙන් වලංගු වන අතර, බොහොමයක් එසේ ක්‍රියා කරයි. සීමාව පැමිණෙන්නේ කළමනාකරණය කළ වින්‍යාසයෙන් මිස යටින් ඇති ප්‍රොටොකෝලයෙන් නොවේ.
එය සහතික සත්‍යාපනය ලිහිල් කිරීම වැරදි ප්‍රතික්‍රියාවක් බවට පත් කරයි. ලිපින මාරුවකින් පසු පැතිකඩ අසාර්ථක වුවහොත්, සේවාදායක සත්‍යාපනය අක්‍රීය කිරීම විසඳුම හෝ ලිපින ගැලපීමේ අවශ්‍යතාව නිවැරදි කිරීම වෙනුවට දෝෂය ගෙන යයි, සහ ඕනෑම දෙයක් විශ්වාස කරන සේවාලාභියෙකු ඉතිරි කරයි. අපනයනය කළ CA, සේවාදායක සත්‍යාපනය සහ අන්‍යෝන්‍ය සත්‍යාපන සැකසුම් පැමිණි පරිදිම තබා ගන්න.
අවසර ලැයිස්තු, පිටවීම සහ පෞද්ගලික DNS යනු තුන් වෙනස් ගැටලු
ලැප්ටොප් සම්බන්ධ වීමට පෙර ගමනාන්තයකට අවසර දිය යුතු ෆයර්වෝල් රීතියක් අදාළ වන්නේ පිටත ශ්‍රාවකයට ය. ජාල හිමිකරුට අන්ත ලක්ෂ්‍ය නාමය, ප්‍රවාහනය සහ වින්‍යාසගත වරාය දෙන්න, පසුව ඔවුන්ගේ පාලනයට සේවාවේ DNS හැසිරීම අනුගමනය කළ හැකිදැයි අසන්න. ග්‍රහණය කරන ලද එක් ලිපිනයක් රඳවා ගන්නා රීතියක් යනු නොලියන ලද කල් ඉකුත්වීමක් සහිත ස්නැප්ෂොට් එකකි. පාලනය පිළිගන්නේ වෙනස් නොවන ගමනාන්ත පමණක් නම්, නිහඬව පිළිතුරක් දෘඩ කේතනය කිරීම වෙනුවට දියත් කිරීමට පෙර එම පරතරය විසඳන්න.
උමග ඉහළ ගිය පසු කරන ඉල්ලීම් සඳහා ස්ථිර මූල ලිපිනයක් අවශ්‍ය හවුල්කරුට වෙනත් අවශ්‍යතාවක් ඇත: පිටවීම. වෙබ් අඩවියක් දකින දෙය රඳා පවතින්නේ යෙදුම් මාර්ගය සහ බෙදුණු උමග ප්‍රතිපත්තිය මත මිස සේවාලාභියා සම්බන්ධ වූ ලිපිනය මත නොවේ. බෙදුණු උමග රථවාහන කිසිසේත් AWS ස්පර්ශ නොකළ හැකිය.
උමග තුළ ඇති පෞද්ගලික DNS තුන්වන ස්තරයයි. සේවාලාභීන්ට දෙන විසඳන්නා සම්බන්ධ වීමෙන් පසු අභ්‍යන්තර නාමවලට පිළිතුරු දෙයි; උමග පවතින තෙක් එය පොදු අන්ත ලක්ෂ්‍යය විසඳිය නොහැක. අන්ත ලක්ෂ්‍ය විසඳීමේ අසාර්ථකත්වය සහ අභ්‍යන්තර යෙදුම් විසඳීමේ අසාර්ථකත්වය වෙනස් අවස්ථාවල සිදු වේ, ඒවා මිශ්‍ර කිරීම ඔබව වැරදි ලොගයට යවයි.
ලිපින පවුල ද එම ලැයිස්තුවට අයත් වේ. IPv4 පිළිතුරක් IPv6 හෝ ද්විත්ව තොග අන්ත ලක්ෂ්‍යයක අවසර ලත් මාර්ගය ගැන කිසිවක් නොකියයි, එබැවින් එක් පවුලක ගත් ස්නැප්ෂොට් එකක් අනෙකට සාක්ෂියක් නොවේ.
කිසිවක් අගුලු නොදමා සම්බන්ධතාවක් පරීක්ෂා කරන්න
අපනයනය කළ පැතිකඩෙන්ම ආරම්භ කර එය සැබවින්ම ඉල්ලා සිටින දේ කියවන්න:
grep -nE '^remote|remote-random-hostname' profile.ovpn
dig +short cvpn-endpoint-ID.prod.clientvpn.REGION.amazonaws.com
ss -tnp | grep -E ':(443|1194)'පසුව කරුණු තුනක් සසඳන්න: පැතිකඩේ ඇති අන්ත ලක්ෂ්‍ය නාමය, නව උත්සාහයක් සඳහා සේවාලාභියා වාර්තා කරන ලිපිනය, සහ නාමය දැන් විසඳෙන දෙය. විසඳෙන නාමය සාක්ෂි දරන්නේ වාර්තාව පිළිතුරු දෙන බව පමණි; ප්‍රවාහනය සහ සත්‍යාපනය වෙන් වෙන් ය, අන්ත ලක්ෂ්‍යයට ping එකකට පිළිතුරු දීමට අවශ්‍ය නැත. මැද අයිතමය සඳහා එකම මූලාශ්‍රය සේවාලාභියාගේම ලොගයයි, එබැවින් උත්සාහය අතරතුර එය ග්‍රහණය කරන්න, පසුව නොවේ.
| What you see | Usual cause | Next check |
|---|---|---|
| One machine fails, others connect | Pinned address or stale hosts entry on that machine | Diff its profile and hosts file against a working copy |
| Everyone fails at once, no config change | The endpoint address rotated | Confirm the current endpoint configuration with the account owner |
| Tunnel up, internal names fail | Client DNS policy, not endpoint resolution | Inspect the resolver pushed after connection |
අද පිළිතුරු දෙන ලිපිනයක් අද ගැන සාක්ෂියකි; නාමය යනු සේවාව වලංගුව තබා ගන්නා දෙයයි. නිරීක්ෂණය සටහන් කර, අන්ත ලක්ෂ්‍යය හිමි අයට යවා, පැතිකඩ නාමයට යොමු කර තබන්න.
අත්හැරිය යුතු පුරුදු දෙකක්: නතර වූ හස්ත සම්ප්‍රේෂය පසුකර යාමට සහතික පරීක්ෂා අක්‍රීය කිරීම, සහ එකක් හෝ රැඳේවි යැයි බලාපොරොත්තුවෙන් අන්ත ලක්ෂ්‍ය නාමය ඉදිරියෙන් ලේබල් ගොඩ ගැසීම. ලේබලය වයිල්ඩ්කාඩ් වාර්තාව හරහා විසඳෙයි, නැතහොත් ගැටලුව වෙනත් තැනකි. නිවැරදිව වින්‍යාස කළ පැතිකඩක් තවමත් අසාර්ථක නම්, දිගු සත්කාරක නාමයක් නොව නිශ්චිත විමසුම සහ සම්බන්ධතා සිදුවීම යවන්න.
වසා දැමීමට පෙර: පැතිකඩ තවමත් අපනයනය කළ අන්ත ලක්ෂ්‍ය නාමය දරයි, කිසිදු hosts ගොනුවක් ලිපිනය අගුලු නොදමයි, සේවාලාභී ලොගයේ remote වර්තමාන විසඳුමකට ගැලපේ, සහ ෆයර්වෝල් රීතිය ලිපිනයක් නොව අන්ත ලක්ෂ්‍යය නම් කරයි. ඊළඟ පුද්ගලයාට භාර දිය යුතු තත්ත්වය ද එයයි.