Emër DNS privat apo thjesht një IP? Vendosni përpara se ta ndani

Dy pyetje përzihen kur një shërbim privat hapet për përdoruesit në distancë. E para është cili emër duhet të përdorin klientët; e dyta është cilat burime duhet të pranojë shërbimi. Përgjigjuni në këtë rend, sepse një emër i saktë pas një rregulli të gabuar aksesi prapë dështon, dhe një rregull i saktë pas një emri që nuk zgjidhet nuk testohet kurrë.

Kushti i parë: çfarë rruge rezolutori kanë klientët?

Një emër privat funksionon vetëm nëse rezolutori i klientit mund t'i përgjigjet. Kjo do të thotë që një klient i autorizuar në distancë duhet të arrijë një server DNS që mban zonën, ose përmes tunelit ose përmes një rezolutori që organizata tashmë e drejton për përdoruesit në distancë. Tuneli është transport, jo drejtori. Ai i jep klientit një rrugë drejt rezolutorit, dhe nuk i thotë atij cilën zonë të pyesë.

resolvectl query files.corp.example
dig @10.20.30.10 +short files.corp.example

Një rezolutor publik nuk do të mësojë një zonë private sepse laptopi u lidh me një VPN.

Prapashtesa meriton të njëjtën vëmendje. Përdorni një nëndomen të një domeni që organizata kontrollon, në mënyrë që pronësia dhe planifikimi i certifikatave të mbeten të qarta. Shmangni .local: specifikimi i multicast DNS e lidh atë prapashtesë me zgjidhjen link-local, dhe një tunel i rrugëzuar nuk e riprodhon atë sjellje për ju.

Kushti i dytë: çfarë burimi merr shërbimi?

Rregullat e pranimit shkruhen kundrejt adresave, kështu që pyetja e dobishme është cilën adresë sheh shërbimi pas rrugëzimit dhe përkthimit. Për një shërbim shembull në 10.20.30.40, klientët e zyrës vijnë nga 10.20.30.0/24 dhe klientët në distancë nga një grumbull i veçantë si 10.99.0.0/24.

Nëse një portë rrugëtuese përkthen grumbullin në distancë, shërbimi sheh përkthyesin, dhe një rregull i shkruar për 10.99.0.0/24 nuk do të përputhet.

Lexojeni këtë nga ana e shërbimit dhe jo nga ana e klientit. Një regjistër dëgjuesi ose një kapje paketash në hostin e shërbimit tregon burimin që mbërriti vërtet; adresa e vetë klientit është vetëm një hamendje për atë që mbijetoi rrugën.

Kushti i tretë: emri është i lidhur me një shërbim apo me një host?

Një emër që tregon adresën e një makine e lidh çdo klient me atë makinë. Një emër që tregon një balancues ngarkese ose një adresë të qëndrueshme shërbimi mbijeton zëvendësimin e hostit pas tij. Zgjidhni me qëllim, sepse ndryshimi i kësaj më vonë do të thotë ndryshim i faqeshënuesve të çdo klienti dhe subjektit të çdo certifikate.

Për një shërbim të vetëm të brendshëm, një regjistrim i drejtpërdrejtë zakonisht është në rregull dhe më i lehtë për t'u menduar.

Për çdo gjë që do të zëvendësohet, rindërtohet ose shkallëzohet, një front i qëndrueshëm ia vlen konfigurimi shtesë. Testi është i thjeshtë: nëse mund të zëvendësoni backend-in pa i njoftuar përdoruesit, emri është i lidhur me shërbimin; nëse nuk mundeni, është i lidhur me një host.

Testoni të dyja vendimet veçmas

Zgjidhni fillimisht, më pas lidhuni. Një test zgjidhjeje që kthen adresën e pritur vërteton rrugën e emrit dhe nuk thotë asgjë për pranimin. Një test lidhjeje vërteton rrugën dhe rregullin së bashku, prandaj ekzekutojeni vetëm pasi zgjidhja të ketë sukses.

curl -sv --max-time 5 https://files.corp.example/health

Më pas testoni një herë një burim të ndaluar dhe regjistroni rezultatin.

Mbani dy regjistrimet të ndara në dokumentacionin tuaj: emrin dhe zonën e tij, burimet e pranuara dhe pronarin e rregullit. Kur njëri ndryshon, tjetri nuk duhet.

Ku vendimi zakonisht shkon keq

Dështimi i zakonshëm është një shërbim i publikuar nën një emër që zgjidhet vetëm në rrjetin e zyrës, me një rregull pranimi që pranon vetëm intervalin e zyrës. Përdoruesit në distancë raportojnë atëherë një shërbim të prishur që në të vërtetë është dy lëshime të ndara. Dështimi i dytë i zakonshëm është e kundërta: një rregull i gjerë pranimi i shtuar për të hequr një problem emri e lë shërbimin të arritshëm nga burime që askush nuk i kishte synuar. Të dyja janë lëshime në konfigurim, dhe nga karrigia e përdoruesit duken njësoj.

Asnjë nga gabimet nuk është i dukshëm nga një test i suksesshëm. Prandaj dy vendimet meritojnë regjistrime të ndara dhe teste të ndara, edhe kur i merr i njëjti person.

Shkruajini të dyja përpara se shërbimi të vihet në prodhim, sepse ndryshimi i radhës do të jetë më i lehtë për t'u menduar. Regjistrimi është i shkurtër: një rresht për emrin dhe zonën e tij, një rresht për burimet e pranuara dhe pronarin e rregullit.