Dva VPN, jeden resolver: vyhráva ten, kto zapisoval posledný

Sú pripojení dvaja klienti VPN, jeden pre prácu a jeden pre laboratórnu sieť, a interné názvy sa prekladajú len pre klienta, ktorý sa pripojil ako posledný. Tento vzor vyzerá ako chyba v jednom z klientov. Zvyčajne je to predvídateľný výsledok dvoch programov, ktoré zapisujú rovnakú konfiguráciu resolvera bez dohody o tom, komu patrí ktoré meno.

Mýtus: najnovší VPN vlastní DNS

Neexistuje všeobecné pravidlo, že vyhráva najnovšie pripojenie. Čo sa stane, závisí od mechanizmu platformy a od toho, ako ho každý klient zapisuje. Klient, ktorý nahradí súbor resolvera, dá jeden výsledok; klient, ktorý pridá doménu pre každé spojenie, dá iný; klient, ktorý nič nerobí, ponechá predchádzajúci stav nedotknutý.

Pozorované správanie je teda vlastnosťou oboch implementácií, nie dokumentovanou prioritou. Uvažovanie len podľa poradia spustenia bude niekedy správne a niekedy nesprávne spôsobmi, ktoré sa ťažko reprodukujú. Radšej zapíšte mapovanie. Dizajn, ktorý žije v dvoch klientoch, nie je dizajn.

Priraďte menné priestory k resolverom

Vymenujte privátne prípony a resolver, ktorý vyžaduje každá sieť, a potom rozhodnite, kam majú ísť verejné mená. Ten zoznam je dizajn. Bez neho klienti rozhodujú náhodou.

Platforma, ktorá podporuje DNS pre spojenie alebo smerovacie domény, môže rozdelenie vyjadriť zámerne: jedna doména ide na jedno spojenie, iná doména na druhé a všetko ostatné nasleduje výslovnú predvolenú hodnotu. Dva ploché skripty prepisujúce ten istý súbor tento dizajn nezachovajú, pretože každý z nich verí, že vlastní celú konfiguráciu.

V systéme Windows môže tabuľka zásad prekladu názvov smerovať prípony na konkrétne servery a klient VPN tam môže inštalovať pravidlá. Kontrolujte zásady, nie zoznam adaptérov, pretože názov neprekladá zoznam adaptérov.

Ponechajte si zavádzaciu cestu

Každý klient musí nájsť svoj vlastný koncový bod, aby mohol používať službu, ktorú tento bod poskytuje. Ak sa názov hostiteľa koncového bodu dá preložiť len cez tunel a tunel potrebuje preložený názov hostiteľa, máte cyklickú závislosť, ktorá sa prejaví ako časový limit pripojenia. Ponechajte jednu zavádzaciu cestu mimo oboch tunelov. Nič nestojí až do dňa, keď zachráni pripojenie.

Sledujte cestu ku každému resolveru, nielen názov preň nastavený. Resolver dostupný len cez druhý tunel sa správa ako chýbajúci a príznakom je časový limit, nie chyba smerovania.

Prekrývajúce sa adresy nie sú problém DNS

Dve privátne siete s rovnakým rozsahom adries nemožno opraviť poradím DNS. Ak oba tunely nárokujú 10.0.0.0/8, názov, ktorý sa preloží správne, stále ukazuje na adresu, ktorú hostiteľ nedokáže smerovať do správneho tunela. To si vyžaduje riešenie na úrovni adries, ako sú odlišné rozsahy, menný priestor alebo preklad, nie ďalšie nastavenie resolvera. Včasné rozhodnutie zabráni dlhej obchádzke cez konfiguráciu DNS, ktorá nikdy nemala fungovať.

Porovnajte pridelenie adries oboch tunelov, než obviníte preklad názvov. Keď obe strany pretláčajú rovnaký prefix, hostiteľ si preň ponechá jednu trasu a názov preložený cez druhý tunel aj tak skončí na adrese, ktorú vlastní prvý tunel. Odlišné rozsahy, menný priestor pre každú sieť alebo preklad sú opravy; po pripojení každého klienta potvrďte, že smerovacia tabuľka ukazuje zamýšľanú cestu.

Dokážte to skutočnými aplikáciami

Vyberte dvoch hostiteľov, ktorí existujú len vo svojom vlastnom mennom priestore, a jedno verejné meno, potom každého preložte cez klienta, ktorému má patriť. Správna odpoveď od očakávaného resolvera nedokazuje, že sa aplikácia dostane k hostiteľovi, pretože trasa k tejto adrese môže stále zlyhať. Po každom dopyte vykonajte test pripojenia z programu, ktorý používateľ skutočne spustí.

Klient s vlastnou voľbou šifrovaného DNS môže obísť zásady, ktoré ste práve overili, preto toto nastavenie skontrolujte ako súčasť revízie. Potom znovu pripojte oboch klientov v poradí, ktoré dodávateľ podporuje, a dopyty zopakujte; ak sa odpovede pri zmene poradia vymenia, konkurenčný zapisujúci stále vlastní časť konfigurácie. Skôr než čokoľvek upravíte, zistite, ktorý komponent pravidlo inštaluje - klient, profil operačného systému alebo agent správy. Zapíšte poradie a vlastníkov, aby ich ďalší človek nemusel znovu objavovať.