Seznam dovoljenih končnih točk VPN: osvežitev DNS, ki ste jo pozabili

Vtipkanje vpn.example.com v izjemo požarnega zidu se zdi kot naročnina na DNS. Običajno se zgodi prevod ob nalaganju, nato pravilo hrani naslove in nič jih ne osvežuje. Dve komponenti si zdaj delita delo: razreševalnik, ki odgovarja, in požarni zid, ki shranjuje. Večina izpadov končnih točk se začne tam, kjer ta predaja ni bila nikoli zasnovana.

Ime gostitelja v pravilu ni živa naročnina

Nekatera orodja razrešijo ime ob nalaganju konfiguracije; druga hranijo ime gostitelja in ga znova razrešijo po svojem urniku; tretja sprejmejo le naslove. Vidna konfiguracija redko pove, kateri primer velja. Primeri v dokumentaciji običajno predpostavljajo primer nalaganja, zato razlika med selitvijo preseneti ljudi. Preberite vedenje izvedbe, preden domnevate, da bo sprememba naslova opažena, ker zastarel seznam dovoljenih je videti natanko tako kot delujoč dokler se končna točka ne premakne.

Pravilo, ki imenuje pravega gostitelja, lahko še vedno prepusti napačen naslov. Ta vrzel je mit, ne pravopisna napaka.

TTL predpomnilnika ni časovnik vašega požarnega zidu

Zapisi DNS imajo življenjsko dobo in razreševalniki med tem obdobjem predpomnijo odgovore. Specifikacija DNS določa to vedenje predpomnilnika, vendar ureja podatke DNS, ne ločene shrambe naslovov požarnega zidu. Kratek TTL ne ustvari opravila osvežitve tam, kjer ga ni. Predpomnjenje poteka tudi na več kot eni plasti, zato odgovor, ki ga vidi terminal, morda ni tisti, ki ga je videl požarni zid.

Resničnemu izdelku postavite tri vprašanja: kdaj razreši, kje shrani rezultat in kaj sproži posodobitev. Če je odgovor le ob zagonu, lahko dolga seja preživi naslov, v katerega je bila sprejeta.

dig +short vpn.example.com
resolvectl query vpn.example.com

Osvežitev in napako oblikujte kot eno politiko

Vzdrževana izjema potrebuje izrecne odgovore: kaj sproži osvežitev, preden odjemalec izbere nov naslov, kako se dovoljeni nabor spremeni brez odpiranja širokega začasnega okna in kdaj se odstranijo zastareli vnosi. Te odgovore zapišite ob pravilo.

Vedenje ob napaki izberite zavestno. Ohranjanje starega naslova lahko reši sejo in pusti zastarelo dovoljenje; čiščenje nabora lahko blokira obnovitev. Nobeno ne bi smelo biti naključen rezultat neuspešnega iskanja. Izbrano vedenje zapišite v runbook, da naslednji operater ne bo improviziral pod pritiskom.

Tudi bootstrap DNS naj bo ozek. Brezpogojna izjema za javni razreševalnik je neposredna pot DNS za vse, kar se ujema, ne le za ime končne točke.

Dokažite spremembo končne točke, ne prve povezave

Uporabite podprtega upravitelja odjemalca, če že usklajuje razreševanje in blokiranje. Na gostitelju PF, ki ga upravlja mesto, ohranite lastništvo in načrt obnovitve mesta, namesto da kopirate sintakso tabele imen gostiteljev z druge platforme z drugačnim vedenjem življenjskega cikla.

Z odobrenim, neškodljivim preskusom primerjajte naslov, ki ga odjemalec izbere, z aktivnim dovoljenim naborom pred nadzorovano spremembo in po njej. Pokrijte neuspešno iskanje, brisanje vnosa, ki ni več veljaven, in, kjer je podprto, drugo družino naslovov. Predvideni tunel naj bi si opomogel, medtem ko nesorodni neposredni promet ostane v okviru politike. Uspešna prva povezava dokaže le, da je bil začetni prevod po naključju pravilen.