Cestovný prenosný počítač: stabilné meno alebo pevná adresa kancelárie?

Otvoríte správcovskú konzolu z domu, vyhľadáte prenosný počítač podľa mena a dostanete adresu, ktorá prestala platiť, keď opustil kanceláriu. Inštinkt je preniesť adresu kancelárie na adaptér VPN, aby všetko fungovalo ďalej. Taká oprava zvyčajne pokazí niečo iné, pretože nájsť zariadenie, povoliť jeho prevádzku a udržať reláciu nažive sú tri rôzne problémy. Oddeľte ich, skôr než zvolíte návrh adries.

Oddeľte tri požiadavky

Zapíšte, ktorá z troch skutočne zlyháva. Človek alebo nástroj nenájde službu; server odmieta požiadavky, pretože zdrojová adresa nie je v zozname; alebo aplikácia spadne, keď sa zmení rozhranie. V tabuľke vyzerajú rovnako a vyžadujú rôzne opravy.

Väčšina sťažností na roaming skončí v prvej kategórii a opraví sa v DNS. Pomenovanie stabilnej identity je lacné a pokrýva prvý prípad. Zachovanie adresy je drahé a pomáha druhému len vtedy, keď sa politika aj tak prepíše.

Urobte menom tú stabilnú vec

Dajte prenosnému počítaču meno, ktoré sa prekladá na akúkoľvek adresu dostupnú volajúcemu. V tomto príklade je adresa kancelárie 192.168.50.42, fond vzdialeného prístupu prideľuje 10.90.0.42 a laptop17.corp.example sleduje pripojenie. Nič nevyžaduje zhodu posledného oktetu a navrhovať okolo tejto zhody vytvára prácu bez úžitku. Záznam má ukazovať na adresu, ktorú volajúci skutočne môže použiť, nie na každé rozhranie, ktoré prenosný počítač kedy mal.

dig +short laptop17.corp.example

Resolver-y kešujú odpovede, takže zmena nie je pre všetkých okamžitá. Krátke TTL pomáhajú a logika opätovného pripojenia v aplikácii pomáha viac.

Keď je skutočným obmedzením zoznam povolených zdrojov

Zoznam povolených zdrojov vidí adresu, ktorú chránená služba dostane, po každom preklade. Často je to adresa brány alebo NAT, nie samotného prenosného počítača, a preto úprava záznamov DNS nikdy neopraví odmietnutú požiadavku. Aktualizujte politiku pre adresu, ktorá skutočne dorazí, alebo nahraďte zoznam overenou identitou.

Zachyťte na serveri jednu prijatú požiadavku a prečítajte pole zdroja, potom to zopakujte zo vzdialenej cesty. Ak sa obe adresy líšia, politika potrebuje dva záznamy alebo iný mechanizmus. Zapíšte obe adresy k záznamu politiky, aby ďalší človek videl, prečo sú dve. Opätovné použitie adresy, ktorá je už na tom istom spoji aktívna je samostatný problém konfliktu s vlastnými pravidlami detekcie.

Čo skutočne vyžaduje neprerušené spojenie

Neprerušenosť spojenia je najťažšia požiadavka a tá najčastejšie nesprávne chápaná. Spojenie TCP je identifikované oboma adresami a oboma portmi, takže nová lokálna adresa je iné spojenie, čokoľvek hovorí DNS. Aplikácie, na ktorých záleží, sa musia znova pripojiť, čo znamená relačnú vrstvu alebo klienta, ktorý to skúša znova, nie sieťový trik. Sledujte reláciu počas presunu a výpadok je okamžitý, nie postupný.

ss -tnp state established '( dport = :443 )'

Klonovanie MAC adresy to tiež nerieši. Identita DHCP prenájmu môže použiť explicitný identifikátor klienta a dve rozhrania zdieľajúce jednu identitu stále potrebujú koordinované trasy. Berte mobilitu ako návrh aplikácie a prideľovania a držte identitu zariadenia stabilnú, kým jeho adresa sleduje sieť.