Zakaj zapis SRV pomaga le odjemalcu, ki ga sam povpraša

Dodajanje zapisa SRV v vašo cono ne nauči nobenega odjemalca VPN, da bi ga iskal. Odjemalec mora poznati oznako, se odločiti poslati poizvedbo in ravnati glede na to, kar se vrne, DNS pa ne more zagotoviti prvih dveh. Zato je večina neuspešnih načrtov SRV odjemalskih težav v preobleki DNS. Najprej preberite vedenje odjemalca pri odkrivanju, nato objavite le tisto oznako, po kateri dejansko povprašuje.

Zapis, po katerem nihče ne povprašuje, ne more nikomur pomagati

SRV objavi lokacijo storitve; ne naznani je. Nič ne potiska zapisa proti odjemalcu in noben razreševalnik ne ponuja imena, po katerem nikoli niso vprašali. Iskanje se začne, ko se aplikacija odloči, da ga bo izvedla, zato mora oznaka priti iz dokumentacije izdelka ali iz opazovanja programske opreme v omrežju. Kjer odjemalec nima koraka odkrivanja, zapis spremeni cono in nič drugega.

Zato lahko en izdelek v omrežju začne delovati, medtem ko drugega ista sprememba ne prizadene. Spremenljivka je programska oprema in strežnik DNS dela natanko to, kar mu je bilo rečeno. Po urejanju cono še enkrat preberite, ker se napačno vtipkana oznaka zlahka skrije med zapisi, ki so videti vsi enaki.

Preberite polja, preden jih zapišete

Zapis nosi štiri vrednosti in vsaka odgovarja na drugo vprašanje: prioriteta razvrsti cilje, ki jih odjemalec lahko preizkusi, utež razdeli obremenitev med cilje enake prioritete, vrata poimenujejo transportna vrata, cilj pa poimenuje gostitelja. Specifikacija dopušča tudi cilj ., kar pomeni, da storitev namenoma ni na voljo, in to je koristen odgovor, ne pokvarjen.

Nobeno od teh polj ne nosi poverilnic, pravilnika o potrdilih ali različice aplikacije, in odjemalec, ki utež ignorira, se vseeno poveže, le brez predvidenega ravnovesja. Cilj potrebuje lastne naslovne zapise in bi moral biti kanonično ime, ne vzdevek. Objava zapisa, ki kaže na gostitelja brez poslušalca, ustvari napako povezave, ki se bere kot okvara DNS, in to je najdražja vrsta zavajanja. Objavite celotno verigo ali nič od nje.

Poiščite oznako, ki jo odjemalec resnično pošilja

Oznako določite na podlagi dokazov, ne domneve o imenu izdelka. Ali dokumentacija navaja ime storitve, ali posnetek pokaže poizvedbo, ki ob zagonu zapusti odjemalca. Obe poti se končata na istem mestu: natančno ime in vrsta za preizkus pri razreševalniku.

dig +short SRV _vpn._tcp.gw.example
dig +short A edge2.gw.example
tcpdump -ni any udp port 53

Odgovor primerjajte z objavljenim zapisom znak za znakom, ker so podčrtaji in pika na koncu del imena. Prazen odgovor na poizvedbo, ki je bila resnično poslana, kaže na cono, medtem ko popolna odsotnost poizvedbe kaže na odjemalca, in te ugotovitve vas pošljejo k različnim ekipam. Pravi odgovor je videti kot vrstica spodaj, kjer prioriteta 20 izgubi proti vsakemu zapisu z nižjo prioriteto in odjemalec izbere vrata 8443 na navedenem cilju.

_vpn._tcp.gw.example. 600 IN SRV 20 10 8443 edge2.gw.example.

Tudi cilj mora obstajati

Cilj, ki se razreši, ni isto kot storitev, ki odgovori. Preverite naslovne zapise cilja in nato preverite, ali kaj posluša na objavljenih vratih in protokolu. Zapis TCP, ki kaže na poslušalca samo za UDP, je neskladje, ki ga nobeno urejanje cone ne popravi. Dokler je cilj v gibanju, držite TTL kratek, in ga podaljšajte, ko se ime neha premikati.

Odjemalci, ki odkrivanje resnično izvajajo, se razlikujejo po tem, koliko zapisa spoštujejo. Nekateri uporabljajo le prioriteto, drugi utež obravnavajo kot nasvet, redki pa ignorirajo vrata in predpostavijo privzeto vrednost. Te razlike sodijo v vaše zapiske ob oznaki, ker pojasnjujejo vedenje, ki je videti sicer kot okvara razreševalnika.

Odkrivanje ni overjanje

Odgovor SRV pove, kam se povezati, in ne pove nič o tem, komu zaupati po prihodu. Pustite preverjanje potrdila in preverjanja identitete strežnika pri odjemalcu natanko takšna, kot so bila, ker zapis, ki ga lahko nekdo drug ponaredi, ne bi smel postati odločitev o zaupanju. Odgovore DNS je mogoče predpomniti in jih ureja vsakdo, ki nadzoruje cono, zato so slab kraj za kodiranje pravilnika.

Odjemalcu brez podpore za odkrivanje razdelite profil ali URL prehoda, ki ga sprejema, in zapišite, kateri izdelek uporablja katero metodo. Ta zapisek prepreči naslednjemu skrbniku, da bi dodal zapis in pričakoval, da bo deloval povsod. Specifikacija SRV opisuje izbiro med cilji in brati jo kot mehanizem za pooblastila je pot, po kateri koristen zapis postane varnostna predpostavka. Objavljajte zavestno, oznako navedite v svoji dokumentaciji in do odjemalca se obnašajte kot do komponente, ki odloča, ali je vse to pomembno.