DNS ya kijiografia na anycast: kukagua kiingilio cha VPN unachopata

Jibu la DNS lililo karibu huhisi kama tatizo lililotatuliwa hadi muunganisho utue mahali pengine. DNS ya kijiografia na anycast zote zinajaribu kufupisha njia, na hufanya uamuzi huo kwa taarifa tofauti. Hakuna kinachohakikisha kwamba lango unalofikia linaweza kufikiwa, kwamba linaonyesha utambulisho ambao mteja wako anautarajia, au kwamba kipindi chako kinaendelea baada ya nodi kubadilika. Ukaguzi ulio hapa chini unatenganisha maswali hayo manne.

Angalia ni eneo la nani ambalo kisuluhishi kinaripoti kwa kweli

Seva yenye mamlaka inayojibu swali nyeti kwa topolojia kwa kawaida huona anwani ya kisuluhishi cha kurudia kilichouliza, si anwani ya mtu aliyeandika jina. Kisuluhishi kilichowekwa katikati kinaweza kukaa mbali na wateja kinachowahudumia, na jibu linaonyesha kisuluhishi badala ya wao. Hilo si kasoro; ndivyo itifaki inavyofanya kazi isipokuwa taarifa za ziada zitolewe. Vipimo vya EDNS Client Subnet vinaelezea kikwazo na suluhisho la hiari.

EDNS Client Subnet inaweza kubeba taarifa za mtandao wa asili wakati kila mshiriki anaiunga mkono na kuiwezesha. Ni ya hiari, ina athari za faragha na akiba, na si ruhusa ya kudhani kuwa kisuluhishi chochote cha umma kinaripoti eneo halisi la mtumiaji. Waulize waendeshaji wa kisuluhishi kabla ya kubuni kuzunguka hilo.

dig +short vpn.example.com @1.1.1.1
dig +short vpn.example.com @9.9.9.9
dig +subnet=203.0.113.0/24 +short vpn.example.com

Angalia kile uelekezaji wa anycast uliamua

Kwa anycast, maeneo kadhaa hutangaza ufikivu wa anwani moja ya huduma, na mtandao humpeleka kila mteja kwenye nodi ambayo uelekezaji wake unaipendelea. Uchaguzi huo hufanywa na BGP na sera inayozunguka, si kwa umbali kwenye ramani. Ukaribu wa topolojia pia kwa ujumla haumaanishi utendaji bora wa kwenda na kurudi, kwa sababu njia inayoonekana fupi inaweza kuwa na msongamano au isiyo na ulinganifu. Anwani uliyopewa haisemi chochote kuhusu nodi iliyojibu.

Thibitisha eneo linalohudumia kutoka upande wa huduma, au kutoka jibu linalolitaja, si kutoka jibu la DNS pekee. traceroute -n 198.51.100.20 linaonyesha njia uliyopita na bado halitaji mwenyeji aliye mwisho wake, kwa hivyo isome kama njia na si kama jibu.

Angalia kwamba kipindi kinaendelea baada ya nodi kubadilika

Swali la DNS ni fupi na kipindi cha VPN ni kirefu, na vyote viwili vina mahitaji tofauti kabisa ya hali. Uelekezaji unaweza kuhama katikati ya kipindi, na inapotokea, pakiti za baadaye zinaweza kufika kwenye nodi ambayo haijawahi kuona handaki lako. Ikiwa hilo linaweza kustahimiliwa inategemea utekelezaji: hali iliyoshirikiwa, kuunganisha tena kwa makusudi, au hitilafu iliyoandikwa. Anwani pekee haitoi yoyote ya hayo.

Angalia mabadiliko badala ya kuyadhania. Njia inapobadilika sudo tcpdump -ni any -c 20 esp linaonyesha pakiti za nje, na mabadiliko ya ghafla kwenye anwani ya mwenzako ndilo badiliko linalotokea. Eleza kwa uwazi tabia inayokusudiwa kwa utekelezaji unaoendesha, kisha uijaribu kwa kulazimisha mabadiliko ya njia. Ikiwa muundo unadhania urudufishaji wa kipindi, taja utaratibu na taja hitilafu ambao hauifikii.

Angalia kwamba utambulisho bado unalingana

Kila sehemu ya kuingia lazima iwasilishe utambulisho ambao wasifu wa mteja wako unautarajia. Cheti kilichotolewa kwa jina la huduma hufanya kazi katika nodi zote, wakati vyeti vya kila nodi hulazimisha mteja kukubali kitu kipya, na hapo ndipo watumiaji wanapojifunza kubofya kupitia maonyo. Weka utambulisho unaotarajiwa na wasifu sawa na mfano wa kuingia.

Iangalie kutoka kwa mteja aliyefikia nodi isiyo ya kawaida, kwa sababu hiyo ndiyo kesi ambapo cheti cha kila nodi kinaonekana. openssl s_client -connect vpn.example.com:443 -servername vpn.example.com huchapisha mnyororo na majina, ambayo ni sawa kabisa na kile mteja anacholinganisha. Kisha amua ikiwa wasifu unapaswa kupunguzwa au mfano wa vyeti ubadilishwe.

Angalia rekodi, si jibu la kwanza pekee

Tathmini hali tatu na uandike ukweli wanne kwa kila moja: kuingia kwa kawaida, eneo moja halipatikani, na kesi ya urejeshaji iliyokubaliwa. Ukweli wanne ni kisuluhishi kilichotumika, anwani iliyorudishwa, eneo lililohudumia, na matokeo mapya ya programu. Rekodi hiyo hutenganisha tatizo la uteuzi wa DNS na tatizo la lango, la uelekezaji au la hali ya kipindi. Bila hiyo, yote manne yanaonekana sawa kutoka kwa mteja.

dig +short vpn.example.com
getent hosts vpn.example.com
curl -s -o /dev/null -w "%{http_code}
" https://vpn.example.com/health

Endesha hali hizo kutoka mitandao ya ufikiaji inayowakilisha na si kutoka ofisini pekee, kwa sababu swali zima ni sehemu gani ya kuingia ambayo wateja tofauti wanafikia kweli. Mtandao mmoja ni sampuli ya mmoja.