Tuneli është aktiv, atëherë pse emri privat vazhdon të dështojë?

Çdo gjë në lidhje duket në rregull: tuneli është aktiv dhe konsola tregon pikën fundore private, por çdo kërkesë dështon në zgjidhjen e emrave. Lëvizja e natyrshme është të fajësosh tunelin, i cili zakonisht rezulton i pafajshëm. Kërkesa dërgohet te një server që nuk di asgjë për zonën private. Asnjë ndryshim rrugëtimi nuk do ta ndryshojë atë përgjigje, sepse problemi është kë u pyet.

Cili zgjidhës e mori kërkesën?

Gjeni zgjidhësin e lidhur me çdo lidhje përpara se të shikoni tunelin. Linux shfaq serverët për çdo lidhje përmes komandës së statusit të zgjidhësit, dhe macOS shfaq zgjidhës me shtrirje në dumpin e konfigurimit DNS. Nëse përgjigja vjen ende nga routeri i shtëpisë, lidhja e tunelit nuk u konsultua kurrë.

resolvectl status
scutil --dns | head -40
dig +short internal.example.com

Këtu ngatërrohen dy faza: një server që shtyn një adresë zgjidhësi, dhe një klient që e instalon atë në lidhjen aktive. Profili mund ta përmbajë opsionin, dhe regjistri mund të tregojë se po vjen, ndërsa sistemi operativ vazhdon të përdorë serverin e vjetër. Krahasoni regjistrin me atë që raporton lidhja, dhe besoni lidhjen.

Përdorni një adresë ku rrjeti cloud përgjigjet vërtet

Rrjetet cloud zakonisht përgjigjen për emrat privatë përmes një adrese të rezervuar të zhvendosur dy vende nga baza e intervalit, kështu që një rrjet që fillon në 10.0.0.0 përgjigjet në 10.0.0.2. Disa ofrues publikojnë gjithashtu një zgjidhës lokal lidhjeje që funksionon pa e njohur intervalin, gjë që ndihmon kur rrjeta është ndërtuar nga dikush tjetër. Pyetni adresën kandidate drejtpërdrejt përpara se t'ia shtyni dikujt. Një adresë që nuk është zgjidhës duket saktësisht si një refuzim nga firewalls, sepse kërkesa thjesht nuk merr kurrë përgjigje.

Nëse kërkesa e drejtpërdrejtë përgjigjet nga brenda rrjetit por jo përmes tunelit, zgjidhësi është në rregull dhe rruga midis dy pikave nuk është. Ai rezultat e zhvendos hetimin te rrugët, përcjellja dhe rregullat e aksesit në vend të profilit të klientit.

Tuneli nuk e mbart hapësirën e emrave

Paketat kalojnë; emrat jo. Secila palë duhet të dijë cila hapësirë emrash i përket palës tjetër, dhe ai është një objekt i veçantë që zotërohet nga ai që mban zonën. Forma e zakonshme është një përcjellje për një hapësirë emrash, e drejtuar te një zgjidhës i arritshëm përmes tunelit.

Në praktikë secili drejtim ka nevojë për rregullin e vet, sepse pala që zotëron zonën duhet ta dërgojë kërkesën më tej. Të dy drejtimet kërkojnë që burimi i kërkesës të rrugëtohet dhe të lejohet, dhe pala që përgjigjet duhet t'i kthejë përgjigjet përmes tunelit, jo drejt internetit. Mbajeni përcjelljen të ngushtë, në mënyrë që vetëm hapësira private e emrave të varet nga lidhja. Dërgimi i çdo kërkese përmes saj e kthen një varësi të vogël në një ndërprerje të plotë në momentin që tuneli bie.

Kaloni kufijtë me radhë

Provoni zgjidhësin e instaluar në lidhjen aktive, pastaj një kërkesë të drejtpërdrejtë te ai zgjidhës, pastaj të njëjtën kërkesë nga ana e largët, dhe në fund aplikacionin që përdor të njëjtin emër. Çdo hap izolon një kufi, kështu që një dështim ju tregon ku të shikoni në vend që të rinisni hetimin. Një përgjigje që funksionon ndërsa aplikacioni dështon tregon besimin te certifikata ose një politikë API, jo DNS. Ato defekte janë reale, dhe asnjë ndryshim zgjidhësi nuk do t'i rregullojë.

Shkruani cili hap dështoi. Ai rresht i vetëm është ajo që i duhet personit tjetër, dhe regjistrimi i tij kërkon dhjetë sekonda.

Mbajeni zinxhirin aty ku personi tjetër mund ta gjejë

Regjistroni zgjidhësin e shtyrë, rregullin e përcjelljes, burimin e lejuar të kërkesave dhe pikën fundore që përgjigjet në një vend. Kur emri privat dështon përsëri, regjistri tregon nëse tuneli u zhvendos, nëse adresa e zgjidhësit ndryshoi ose nëse një rregull u ngushtua. Pa të, çdo incident fillon nga zero dhe përfundon me të njëjtat tre hamendje.

Mbajeni regjistrin mjaft të shkurtër për të mbetur i saktë: katër rreshta, një datë dhe emri i atij që zotëron çdo pjesë. Një regjistër i vjetruar është më keq se asnjë, sepse duket autoritar ndërkohë që është i gabuar.