DNS kwenye AWS Client VPN: tumia resolver ya VPC, sio subnet

Endpoint iko katika 10.0.8.0/24, kwa hiyo resolver lazima iwe 10.0.8.2. Hii ni hoja ninayoisikia zaidi, na ni makosa mara mbili. Route 53 Resolver hujibu kwenye safu kuu ya IPv4 ya VPC pamoja na mbili, ambayo kwa VPC ya 10.0.0.0/16 ni 10.0.0.2, bila kujali subnet ipi endpoint inatumia. Kosa la pili ni tulivu zaidi: kuweka anwani sahihi kwenye endpoint haimaanishi kuwa mfumo wa uendeshaji wa mteja utaiuliza chochote. Makosa yote mawili hutoa dalili moja: utatuzi wa majina hufanya kazi kwa baadhi ya wateja na hushindwa kwa wengine.

Hadithi huanza na uhusiano wa subnet

Uhusiano unahusu mahali ambapo interface za mtandao zenye kubadilika za miunganisho ya wateja ziko, sio anwani ipi ya resolver ipo. Subnet za endpoint huwapa wateja anwani ndani ya VPC, na kila moja haibebi resolver yake.

Mara tu unapotenganisha mawazo hayo mawili, hesabu haibaki kuwa fumbo, na utatuzi wa matatizo huhamia kwa mteja, ambako kesi nyingi hizi huishia.

Hesabu anwani kutoka safu kuu ya VPC

Chukua CIDR kuu ya IPv4 ya VPC na ongeza mbili kwenye anwani ya mtandao. 10.0.0.0/16 hutoa 10.0.0.2, 172.31.0.0/16 hutoa 172.31.0.2, na VPC yenye safu ya pili huweka resolver kwenye ile kuu. Subnet ya 10.0.8.0/24 ndani ya VPC hiyo haiisogezi. Andika anwani kando ya VPC ID kabla ya kugusa endpoint, kwa sababu namba ni sifa ya VPC na sio ya muunganisho.

VPC pia hujibu kwenye anwani ya link-local 169.254.169.253. Anwani hiyo inafikiwa kutoka ndani ya VPC, lakini sio lengwa la kawaida la njia kwa kompyuta ya mkononi upande wa pili wa handaki.

Kwa hiyo kuna anwani mbili halali za resolver, na hakuna moja iliyo subnet pamoja na mbili.

Mpangilio wa endpoint unafanya nini na haufanyi nini

Endpoint ya Client VPN ina sehemu za seva ya DNS, na pale ambapo konsoli inatoa chaguo la resolver ya VPC hujaza wazo hilohilo. Kuziweka hubadilisha kile huduma inakabidhi kwa wateja wakati wa kuweka muunganisho. Haibadilishi kile ambacho mteja wa OpenVPN asiyesimamiwa hufanya na thamani hiyo, kwa sababu mteja bado lazima aitumie kwenye mfumo wa uendeshaji. Pengo hilo ndilo chanzo cha «inafanya kazi kwenye Mac yangu lakini sio kwenye sanduku la Linux».

Kwenye Linux muunganiko wa resolver unamilikiwa na meneja wa miunganisho na sio na mtumiaji. Kuhariri /etc/resolv.conf kwa mkono kunathibitisha kuwa anwani inafanya kazi kwa kikao kimoja kisha hutoweka unapounganisha tena — ndiyo sababu kesi nyingi zilizorekebishwa hurudi asubuhi inayofuata.

Angalia resolver inayotumika kwenye mteja baada ya kuunganisha, sio ukurasa wa mpangilio wa endpoint.

Split tunneling inaweza kushinda resolver sahihi

Kwa split tunneling njia zinazosukumwa ndani ya handaki pekee ndizo zinatumika. Ikiwa anwani ya resolver haijafunikwa na njia, swali hutoka kupitia interface ya ndani na router ya nyumbani hujibu. Anwani iliyo kwenye endpoint bado ni sahihi na utafutaji bado unashindwa. Ongeza njia ya resolver, kisha jaribu tena.

Safu za ndani zinazopishana hutoa matokeo sawa kwa namna isiyopendeza zaidi: swali hujibiwa, lakini na seva isiyo sahihi.

Usifungue security groups kwa anwani ya Amazon DNS

Silika wakati utafutaji unapopitwa na muda ni kuongeza kanuni inayoruhusu UDP 53 kwa anwani ya resolver. AWS inaeleza kwamba security groups na ACL za mtandao hazichuji trafiki ya Amazon DNS kama zinavyochuja trafiki kuelekea instance ya DNS mwenyewe. Kufungua kanuni hizo hakubadilishi chochote kwa resolver ya VPC na hupanua mipaka bila sababu. Resolver unayoendesha mwenyewe ni kesi tofauti na kwa kweli inahitaji kanuni zake.

Ikiwa zote mbili zinaonekana katika muundo wako, angalia mteja anaelekea ipi kwa kweli kabla ya kuhariri kanuni yoyote.

Hakiki njia, kisha pima kitu kingine

Tatua jina la umma, tatua jina la faragha lililosajiliwa katika eneo la ukaribishaji la faragha linalohusishwa na VPC, na usome kati ya hayo mawili resolver inayotumika ya mteja. Mfululizo huo hutenganisha «anwani ya resolver ni mbaya» na «eneo halihusiani» na «mteja alipuuza mpangilio». Kila moja ina marekebisho tofauti, na hakuna moja ni tatizo la upitishaji data.

Utafutaji uliofanikiwa hausemi chochote kuhusu kasi endelevu ya uhamishaji, kwa hiyo tenganisha mazungumzo hayo mawili unaporipoti.