Листа дозвољених VPN крајњих тачака: DNS освежење које сте заборавили

Уношење vpn.example.com у изузетак заштитног зида изгледа као претплата на DNS. Обично се догоди превод при учитавању, након чега правило држи адресе и ништа их не освежава. Две компоненте сада деле посао: резолвер који одговара и заштитни зид који чува. Већина прекида крајњих тачака почиње тамо где тај пренос никада није био пројектован.

Име хоста у правилу није жива претплата

Неки алати решавају име када се конфигурација учита; други држе име хоста и поново га решавају по сопственом распореду; трећи прихватају само адресе. Видљива конфигурација ретко каже који. Примери у документацији обично претпостављају случај учитавања, због чега разлика изненађује људе током миграције. Прочитајте понашање имплементације пре него што претпоставите да ће промена адресе бити примећена, јер застарела листа дозвољених изгледа баш као она која ради док се крајња тачка не премести.

Правило које именује прави хост ипак може да пропусти погрешну адресу. Та празнина је мит, а не правописна грешка.

TTL кеша није тајмер вашег заштитног зида

DNS записи носе време живота, а резолвери кеширају одговоре за тај период. DNS спецификација дефинише то понашање кеширања, али њиме управља DNS подацима, а не засебним складиштем адреса заштитног зида. Кратак TTL не ствара посао освежавања тамо где га нема. Кеширање се дешава и на више од једног слоја, па одговор који види терминал можда није онај који је видео заштитни зид.

Поставите стварном производу три питања: када решава, где чува резултат и шта покреће освежавање. Ако је одговор само при покретању, дуготрајна сесија може надживети адресу на коју је примљена.

dig +short vpn.example.com
resolvectl query vpn.example.com

Дизајнирајте освежавање и неуспех као једну политику

Одржаван изузетак захтева експлицитне одговоре: шта покреће освежавање пре него што клијент изабере нову адресу, како се дозвољени скуп мења без отварања широког привременог прозора и када се уклањају застарели уноси. Запишите те одговоре поред правила.

Намерно изаберите понашање при неуспеху. Задржавање старе адресе може да сачува сесију и остави застарелу дозволу; чишћење скупа може да спречи опоравак. Ниједно не треба да буде случајан резултат неуспешног претраживања. Запишите изабрано понашање у runbook да следећи оператер не импровизује под притиском.

Држите уским и bootstrap DNS. Безусловни изузетак за јавни резолвер је директан DNS пут за све што се поклапа, не само за име крајње тачке.

Докажите промену крајње тачке, а не прво повезивање

Користите подржани менаџер клијента ако већ координира решавање и блокирање. На PF хосту којим управља локација, задржите власништво и план опоравка локације уместо да копирате синтаксу табеле имена хостова са друге платформе са другачијим понашањем животног циклуса.

Са одобреним, безопасним тестом упоредите адресу коју клијент бира са активним дозвољеним скупом пре и после контролисане промене. Покријте неуспешно претраживање, брисање уноса који више није важећи и, где је подржано, другу фамилију адреса. Предвиђени тунел треба да се опорави док неповезан директни саобраћај остаје под политиком. Успешно прво повезивање доказује само да је почетни превод случајно био тачан.