DNS gjeografik dhe anycast: kontrolli i pikës hyrëse VPN që merrni

Një përgjigje DNS e afërt duket si problem i zgjidhur derisa lidhja të ulet diku tjetër. DNS gjeografik dhe anycast të dy përpiqen të shkurtojnë rrugën dhe e marrin atë vendim nga informacione të ndryshme. Asnjëri nuk garanton që porta që arrini është e arritshme, që paraqet identitetin që klienti juaj pret, ose që sesioni juaj i mbijeton një ndryshimi nyje. Kontrollet më poshtë i ndajnë ato katër pyetje.

Kontrolloni se cilën vendndodhje raporton në të vërtetë rezoluesi

Një server autoritar që përgjigjet një pyetjeje të ndjeshme ndaj topologjisë zakonisht sheh adresën e rezoluesit rekurziv që pyeti, jo adresën e personit që shkruajti emrin. Një rezolues i centralizuar mund të qëndrojë larg klientëve që shërben, dhe përgjigja pasqyron rezoluesin dhe jo ata. Ky nuk është defekt; kështu sillet protokolli nëse nuk jepen informacione shtesë. Specifikimi EDNS Client Subnet përshkruan si kufizimin ashtu edhe zgjidhjen opsionale.

EDNS Client Subnet mund të mbajë informacione të rrjetit burimor kur çdo pjesëmarrës e mbështet dhe e aktivizon. Është opsional, ka pasoja për privatësinë dhe memorien e përkohshme dhe nuk është leje për të supozuar se ndonjë rezolues publik raporton një vendndodhje të saktë të përdoruesit. Pyetni operatorët e rezoluesit përpara se të projektoni rreth tij.

dig +short vpn.example.com @1.1.1.1
dig +short vpn.example.com @9.9.9.9
dig +subnet=203.0.113.0/24 +short vpn.example.com

Kontrolloni se çfarë vendosi usmërrëtimi anycast

Me anycast, disa vendndodhje reklamojnë arritshmërinë për një adresë të vetme shërbimi, dhe rrjeti e dërgon çdo klient te nyja që preferon usmërrëtimi i tij. Kjo zgjedhje bëhet nga BGP dhe politika përreth, jo nga distanca në hartë. Afërsia topologjike gjithashtu në përgjithësi nuk nënkupton performancë më të mirë vajtje-ardhje, sepse rruga që duket e shkurtër mund të jetë e mbingarkuar ose asimetrike. Adresa që ju dha nuk tregon asgjë se cila nyje u përgjigj.

Konfirmoni vendndodhjen që shërben nga ana e shërbimit, ose nga një përgjigje që e emërton atë, e jo vetëm nga përgjigja DNS. traceroute -n 198.51.100.20 tregon rrugën që ndoqët dhe ende nuk e emërton hostin në fund të saj, prandaj lexojeni si rrugë dhe jo si përgjigje.

Kontrolloni se sesioni i mbijeton një ndryshimi nyje

Një pyetje DNS është e shkurtër dhe një sesion VPN është i gjatë, dhe të dy kanë kërkesa krejtësisht të ndryshme për gjendjen. Usmërrëtimi mund të zhvendoset në mes të sesionit dhe, kur kjo ndodh, paketat e mëvonshme mund të mbërrijnë në një nyje që nuk e ka parë kurrë tunelin tuaj. Nëse kjo mund të mbijetohet varet nga zbatimi: gjendje e përbashkët, rilidhje e qëllimshme ose një dështim i dokumentuar. Vetëm adresa nuk siguron asnjë nga këto.

Vëzhgoni zhvendosjen në vend që ta supozoni. sudo tcpdump -ni any -c 20 esp tregon paketat e jashtme ndërsa rruga ndryshon, dhe një ndryshim i papritur në adresën e partnerit është zhvendosja që po ndodh. Përcaktoni shprehimisht sjelljen e synuar për zbatimin që drejtoni, pastaj provojeni duke detyruar një ndryshim rruge. Nëse dizajni supozon replikim të sesionit, emërtoni mekanizmin dhe emërtoni dështimin që ai nuk mbulon.

Kontrolloni se identiteti ende përputhet

Çdo pikë hyrëse duhet të paraqesë identitetin që pret profili i klientit tuaj. Një certifikatë e lëshuar për emrin e shërbimit funksionon nëpër nyje, ndërsa certifikatat për nyje e detyrojnë klientin të pranojë diçka të re, dhe aty përdoruesit mësojnë të kalojnë nëpër paralajmërime. Mbani identitetin e pritur dhe profilin në përputhje me modelin e hyrjes.

Kontrollojeni nga një klient që arriti një nyje të pazakontë, sepse ky është rasti kur një certifikatë për nyje bëhet e dukshme. openssl s_client -connect vpn.example.com:443 -servername vpn.example.com shtyp zinxhirin dhe emrat, pikërisht atë që klienti krahason. Pastaj vendosni nëse profili duhet të ngushtohet apo modeli i certifikatave të ndryshojë.

Kontrolloni regjistrin, jo vetëm përgjigjen e parë

Vlerësoni tre skenarë dhe shkruani katër fakte për secilin: hyrje normale, një vendndodhje e padisponueshme dhe rasti i rikuperimit i rënë dakord. Katër faktet janë rezoluesi i përdorur, adresa e kthyer, vendndodhja që shërbeu dhe një rezultat i ri aplikacioni. Ai regjistër e ndan problemin e përzgjedhjes DNS nga një problem porte, një problem usmërrëtimi ose një problem gjendjeje sesioni. Pa të, të katërt duken njësoj nga klienti.

dig +short vpn.example.com
getent hosts vpn.example.com
curl -s -o /dev/null -w "%{http_code}
" https://vpn.example.com/health

Ekzekutoni skenarët nga rrjete aksesi përfaqësuese dhe jo vetëm nga zyra, sepse e gjithë pyetja është se cilën pikë hyrëse klientë të ndryshëm arrijnë në të vërtetë. Një rrjet është një mostër e një.