VPN smerovanie podľa domén versus IP trasy: čo sa hodí?
Názov hostiteľa v poli pre rozdelený tunel nie je trasa. Porovnajte doménové pravidlá a explicitné prefixy z hľadiska obnovy, rozsahu subdomén a toho, čo sa stane, keď sa zmení DNS.
IP trasa zodpovedá prefixu adresy a jadro ju použije bez ďalších otázok. Pravidlo VPN založené na doméne zodpovedá názvu, čo znamená, že niečo v zásobníku musí rozhodnúť, ktoré adresy ten názov práve teraz znamená, a udržiavať to rozhodnutie aktuálne. Sú to rôzne mechanizmy s rôznymi režimami zlyhania a dodávatelia používajú to isté slovo pre oba. Porovnávanie v zoznamoch funkcií míňa podstatu; porovnávajte ich podľa toho, čo sa stane, keď sa odpoveď zmení.
Užitočné rozdelenie je medzi pravidlom, ktoré prekladá, a pravidlom, ktoré neprekladá.
S čím každé pravidlo skutočne zodpovedá
Pravidlo prefixu zodpovedá cieľovým adresám v smerovacej tabuľke. Nič sa neprekladá, nič nevyprší a zhoda je presná pre každý paket. Pravidlo domény zodpovedá požiadavke aplikácie na názov, ktorý RFC 1034 definuje ako strom štítkov a nie ako adresu. Niektoré produkty preložia názov raz a výsledné adresy nainštalujú ako trasy, čím sa pravidlo stane IP pravidlom s pripojeným časovačom obnovy.
Pred ladením zistite, ktoré z tých dvoch máte, pretože zlyhanie vyzerá v každom prípade úplne inak.
Kde pravidlo domény v zásobníku žije
Ak produkt implementuje doménové pravidlá cez lokálnu proxy, prevádzka sa musí dostať k tejto proxy a aplikácie, ktoré ignorujú systémovú proxy, pravidlo úplne obchádzajú. Ak ich implementuje prekladom názvov a pridávaním trás, adresy sú čerstvé len do poslednej obnovy. Ak sa chytá prekladača, správanie DNS sa stane súčasťou smerovacej politiky a záložný prekladač to môže ticho zrušiť.
Čítajte model dodávateľa, nie označenie nastavenia. Dvaja klienti s poľom s názvom Split Tunnel môžu robiť tri rôzne veci.
Porovnajte, čo sa pokazí
Tri veci sa pokazia rôzne. Zmena adries: názov hostiteľa CDN sa môže preložiť na inú množinu adries v priebehu niekoľkých minút, takže skopírovaný zoznam rýchlo starne. Rozsah subdomén: pravidlo pre example.com môže a nemusí pokrývať api.example.com a dokumentácia zvyčajne výslovne uvádza, ktorý prípad platí. Zlyhanie prekladu: keď prekladač zlyhá, klient, ktorý prekladá, sa môže vrátiť k tunelovaniu prevádzky alebo k jej priamemu odosielaniu.
Len druhá je otázka konfigurácie. Zvyšné dve sú otázky návrhu, nakoľko je produkt ochotný hádať.
| Behaviour | Prefix rule | Domain rule |
|---|---|---|
| Match basis | destination address | requested name or resolved addresses |
| Staleness | none | depends on refresh policy |
| Subdomain scope | not applicable | product-defined |
| Resolver outage | unaffected | product-defined fallback |
| Where to debug | routing table | client log plus resolver state |
Kedy je prefix lepšou odpoveďou
Pre stabilnú privátnu podsieť je explicitný prefix jasnejší, rýchlejší a ľahšie auditovateľný. Prežije aj výpadok prekladača, pretože sa nič nemusí prekladať. Pravidlo domény použite, keď je služba hostovaná, keď sa adresy točia alebo keď skutočne nedokážete vymenovať množinu cieľov. Nesiahajte po ňom len preto, že názov hostiteľa je vec, ktorú náhodou poznáte.
Odhadovaný statický zoznam je najhorší z oboch: vyzerá udržiavaný a ticho minie prevádzku v deň, keď poskytovateľ pridá hostiteľa.
Overte čerstvou požiadavkou
Otestujte studenou požiadavkou po bežnom opätovnom pripojení, pretože stránka z medzipamäti sa pravidla možno nikdy nedotkne. Preložte názov a potom skontrolujte, kam spojenie skutočne išlo. dig +short app.example.com dáva aktuálnu množinu adries a zoznam spojení klienta vám povie, ktoré rozhranie tok nieslo.
Zopakujte po intervale obnovy, ktorý produkt dokumentuje. Ak sa množina adries posunie a pravidlo ju nenasleduje, našli ste skutočné správanie.
Politiku prekladača držte tiež oddelene. Pravidlo domény potrebuje správne údaje o názvoch, ale samo o sebe nerozhoduje, ktorý prekladač na požiadavku odpovie.