DNS në AWS Client VPN: përdorni resolverin e VPC, jo subnetin

Endpointi ndodhet në 10.0.8.0/24, prandaj resolveri duhet të jetë 10.0.8.2. Ky është arsyetimi që dëgjoj më shpesh, dhe është i gabuar dy herë. Route 53 Resolver përgjigjet në diapazonin kryesor IPv4 të VPC plus dy, që për një VPC 10.0.0.0/16 është 10.0.0.2, pavarësisht se cilën subnet përdor endpointi. Gabimi i dytë është më i heshtur: vendosja e adresës së saktë në endpoint nuk do të thotë që sistemi operativ i klientit ta pyesë ndonjëherë për diçka. Të dy gabimet japin të njëjtin simptomë: zgjidhja e emrave funksionon për disa klientë dhe dështon për të tjerë.

Miti fillon me shoqërimin e subnetit

Shoqërimi ka të bëjë me vendin ku ndodhen ndërfaqet elastike të rrjetit për lidhjet e klientëve, jo me atë se cila adresë resolveri ekziston. Subnetet e endpointit u japin klientëve një adresë brenda VPC, dhe asnjëra prej tyre nuk mbart resolverin e vet.

Pasi t’i ndani këto dy ide, aritmetika nuk është më misterioze dhe zgjidhja e problemeve kalon te klienti, ku përfundojnë në të vërtetë shumica e këtyre rasteve.

Llogarisni adresën nga diapazoni kryesor i VPC

Merrni CIDR-in kryesor IPv4 të VPC dhe shtoni dy në adresën e rrjetit. 10.0.0.0/16 jep 10.0.0.2, 172.31.0.0/16 jep 172.31.0.2, dhe një VPC me diapazon dytësor e mban resolverin në atë kryesor. Një subnet 10.0.8.0/24 brenda atij VPC nuk e lëviz. Shkruani adresën pranë ID-së së VPC përpara se të prekni endpointin, sepse numri është veti e VPC dhe jo e lidhjes.

VPC përgjigjet edhe në adresën link-local 169.254.169.253. Kjo adresë arrihet nga brenda VPC, por nuk është destinacion i rrugëzuar i përgjithshëm për një laptop në skajin tjetër të një tuneli.

Pra ka dy adresa të vlefshme resolveri, dhe asnjëra prej tyre nuk është subneti plus dy.

Çfarë bën konfigurimi i endpointit dhe çfarë jo

Endpointi i Client VPN ka fusha serveri DNS, dhe ku konsola ofron një opsion resolveri të VPC ajo plotëson të njëjtën ide. Vendosja e tyre ndryshon atë që shërbimi u dorëzon klientëve gjatë vendosjes së lidhjes. Nuk ndryshon atë që bën një klient OpenVPN i pamanaxhuar me atë vlerë, sepse klienti duhet ta zbatojë akoma në sistemin operativ. Nga kjo hendek vjen «punon në Mac-in tim por jo në kutinë Linux».

Në Linux integrimi i resolverit zotërohet nga menaxheri i lidhjeve dhe jo nga përdoruesi. Editimi me dorë i /etc/resolv.conf dëshmon se adresa punon për një sesion dhe pastaj zhduket në rilidhje — prandaj kaq shumë raste të rregulluara kthehen në mëngjesin tjetër.

Kontrolloni resolverin aktiv në klient pas lidhjes, jo faqen e konfigurimit të endpointit.

Split tunneling mund të mundë një resolver të saktë

Me split tunneling përdoren vetëm rrugët e shtyra në tunel. Nëse adresa e resolverit nuk mbulohet nga një rrugë, kërkimi del nga ndërfaqja lokale dhe përgjigjet routeri i shtëpisë. Adresa në endpoint mbetet e saktë dhe kërkimi vazhdon të dështojë. Shtoni rrugën për resolverin, pastaj provoni përsëri.

Diapazonet lokale të mbivendosura japin të njëjtin rezultat në një mënyrë më të bezdisshme: kërkimi merr përgjigje, vetëm se nga serveri i gabuar.

Mos hapni security groups për adresën e Amazon DNS

Instinkti kur kërkimet skadojnë është të shtoni një rregull që lejon UDP 53 drejt adresës së resolverit. AWS dokumenton se security groups dhe ACL-të e rrjetit nuk filtrojnë trafikun e Amazon DNS ashtu siç filtrojnë trafikun drejt një instance DNS të vetën. Hapja e atyre rregullave nuk ndryshon asgjë për resolverin e VPC dhe zgjeron kufirin pa arsye. Një resolver që e mbani vetë është rast tjetër dhe vërtet ka nevojë për rregullat e veta.

Nëse të dyja shfaqen në dizajnin tuaj, kontrolloni drejt cilit klienti është vërtet i drejtuar përpara se të editoni ndonjë rregull.

Verifikoni rrugën, pastaj matni diçka tjetër

Zgjidhni një emër publik, zgjidhni një emër privat të regjistruar në një zonë private të strehuar të lidhur me VPC, dhe lexoni midis tyre resolverin aktiv të klientit. Ky sekuencë ndan «adresa e resolverit është e gabuar» nga «zona nuk është e lidhur» dhe nga «klienti e injoroi konfigurimin». Secili ka një rregullim tjetër, dhe asnjëri nuk është problem i xhiros.

Një kërkim i suksesshëm nuk thotë asgjë për shpejtësinë e qëndrueshme të transferimit, ndaj mbani ato dy biseda të ndara kur raportoni.