Zoznam povolených koncových bodov VPN: aktualizácia DNS, na ktorú ste zabudli

Zadanie vpn.example.com do výnimky firewallu pôsobí ako predplatné DNS. Zvyčajne dôjde k prekladu pri načítaní, potom pravidlo drží adresy a nič ich neobnovuje. Úlohu si teraz delia dve súčasti: prekladač, ktorý odpovedá, a firewall, ktorý ukladá. Väčšina výpadkov koncových bodov začína tam, kde toto odovzdanie nebolo nikdy navrhnuté.

Názov hostiteľa v pravidle nie je živé predplatné

Niektoré nástroje preložia názov pri načítaní konfigurácie; iné držia názov hostiteľa a prekladajú ho znova podľa vlastného plánu; ďalšie prijímajú iba adresy. Viditeľná konfigurácia zriedka hovorí, ktorý prípad nastáva. Príklady v dokumentácii zvyčajne predpokladajú prípad načítania, a preto rozdiel pri migrácii ľudí prekvapí. Prečítajte si správanie implementácie, skôr než budete predpokladať, že zmena adresy bude zaznamenaná, pretože zastaraný zoznam povolených vyzerá presne ako fungujúci kým sa koncový bod nepresunie.

Pravidlo, ktoré pomenuje správneho hostiteľa, môže stále prepustiť nesprávnu adresu. Táto medzera je mýtus, nie pravopisná chyba.

TTL medzipamäte nie je časovač vášho firewallu

DNS záznamy majú dobu životnosti a prekladače počas nej ukladajú odpovede do medzipamäte. Špecifikácia DNS definuje toto správanie medzipamäte, ale riadi údaje DNS, nie samostatné úložisko adries firewallu. Krátke TTL nevytvorí úlohu obnovy tam, kde žiadna nie je. Ukladanie do medzipamäte prebieha aj na viac ako jednej vrstve, takže odpoveď, ktorú vidí terminál, nemusí byť tá, ktorú videl firewall.

Položte skutočnému produktu tri otázky: kedy prekladá, kde ukladá výsledok a čo spúšťa aktualizáciu. Ak je odpoveď len pri spustení, dlhá relácia môže prežiť adresu, ku ktorej bola pripustená.

dig +short vpn.example.com
resolvectl query vpn.example.com

Navrhnite obnovu a zlyhanie ako jednu politiku

Udržiavaná výnimka potrebuje výslovné odpovede: čo spustí obnovu, kým klient zvolí novú adresu, ako sa povolená sada mení bez otvorenia širokého dočasného okna a kedy sa odstraňujú zastarané záznamy. Zapíšte tieto odpovede vedľa pravidla.

Správanie pri zlyhaní zvoľte vedome. Zachovanie starej adresy môže zachrániť reláciu a zanechať zastarané povolenie; vyčistenie sady môže zablokovať obnovu. Ani jedno by nemalo byť náhodným výsledkom neúspešného vyhľadania. Zvolené správanie zapíšte do runbooku, aby ďalší operátor neimprovizoval pod tlakom.

Udržujte úzke aj bootstrap DNS. Bezpodmienečná výnimka pre verejný prekladač je priama cesta DNS pre všetko, čo zodpovedá, nie len pre názov koncového bodu.

Dokážte zmenu koncového bodu, nie prvé pripojenie

Použite podporovaného správcu klienta, ak už koordinuje preklad a blokovanie. Na hostiteľovi PF spravovanom lokalitou zachovajte vlastníctvo lokality a plán obnovy, namiesto kopírovania syntaxe tabuľky názvov hostiteľov z inej platformy s odlišným správaním životného cyklu.

So schváleným, neškodným testom porovnajte adresu, ktorú klient vyberá, s aktívnou povolenou sadou pred kontrolovanou zmenou a po nej. Pokryte neúspešné vyhľadanie, vymazanie záznamu, ktorý už nie je platný, a tam, kde je to podporované, inú rodinu adries. Zamýšľaný tunel by sa mal obnoviť, zatiaľ čo nesúvisiaca priama prevádzka zostane v rámci politiky. Úspešné prvé pripojenie dokazuje len to, že počiatočný preklad bol náhodou správny.