Nyaraka za split-tunnel zinahitaji kanuni ya DNS kando ya kila njia
Njia huamua kwa anwani, kitatuzi huamua kwa jina. Andika vichaguzi vyote viwili kwa kila mtiririko, kila kimoja na jaribio moja, vinginevyo noti itashindwa DNS inapohama.
Noti ya split-tunnel inayosema "trafiki ya ofisi inapita kupitia VPN" imeandika uamuzi mmoja na imedokeza mitatu mingine. Katika tabaka la pakiti, jedwali la njia huchagua kiolesura kwa anwani ya lengwa; katika tabaka la majina, kitatuzi huchagua seva kwa swali, na chaguo hizi mbili hufanywa kwa kujitegemea. Ndiyo sababu kiambishi awali kilichoandikwa kwa usahihi kinaweza bado kutoa mashine inayotatua jina la ndani kuwa anwani ya umma, au kutotatua chochote wakati njia inaonekana kamili.
Vichaguzi viwili, jaribio moja la muunganisho
Wakati programu inaunganisha na files.corp.example, utafutaji mbili hufanyika kabla pakiti haijakuwepo. Kitatuzi huamua seva ipi itapokea swali, kwa kutumia vikoa vya utafutaji, vikoa vya njia kwa kila kiungo au kanuni bayana ya wasifu. Kisha jedwali la njia huamua anwani inayotokana inakwenda wapi, kwa kutumia ulinganifu mrefu zaidi wa kiambishi awali na lengwa.
Hakuna kitu kinachounganisha maamuzi hayo mawili. Eneo la kibinafsi linaweza kujibu kwa 10.20.4.11, wakati jedwali la njia linatuma 10.20.0.0/16 kwenye handaki, na muunganisho unafanya kazi. Geuza lolote na linashindwa kwa namna inayofanana na lingine: sera sahihi ya DNS pamoja na njia inayokosekana hutoa jina lililotatuliwa na muda wa kumalizika, wakati njia sahihi pamoja na kitatuzi cha umma hutoa anwani inayoelekezwa safi mahali pasipofaa.
DNS ya upeo mgawanyika hufanya hii kuwa kali zaidi. Jina moja linaweza kurudisha anwani ya kibinafsi kutoka kwa kitatuzi cha ndani na anwani ya umma kutoka kwa kile kinachoelekea mtandao, kwa hiyo noti inayorekodi kiambishi awali pekee haiwezi kutabiri ni anwani gani mteja atatumia kwa kweli. Andika njia ya kitatuzi au anwani ni dhahania.
Noti ya njia pekee inaacha nini
Rekodi ya njia pekee haina matumizi kwa hitilafu ya kawaida zaidi ya split-tunnel: majina. Mtumiaji anaripoti kwamba mtandao wa ndani haupaki, handaki iko juu, na kiambishi awali kipo. Anayechukua tiketi hana rekodi ya kitatuzi kipi kilipaswa kujibu, hana njia ya kutofautisha kiambishi cha utafutaji kibaya na seva iliyozuiwa, na hana msingi wa kulinganisha.
Uachaji wa pili ni orodha ya misamaha. Muundo wa split-tunnel hufafanuliwa kwa kiasi sawa na kile kinachobaki nje ya handaki na kile kinachoingia ndani yake, na safu zilizotengwa kwa kawaida ndizo zinazovunjika kwanza, kwa sababu njia mahususi zaidi ya ndani au kichujio cha upande wa mteja kinaweza kupindua nia bila kugusa wasifu.
Ya tatu ni upande wa mbali wa handaki. Njia ya mteja huweka pakiti kwenye waya pekee; lango bado linapaswa kuipitisha na kuwa na njia ya kurudi. Mwongozo wa strongSwan wa upitishaji unakumbusha kwamba kanuni za upitishaji na ukuta wa moto kwenye lango ni sehemu ya kipengele, si sehemu ya mabomba unayoweza kudhani.
Sehemu zinazofanya noti itekelezeke
Mstari mmoja kwa kila mtiririko, na mtiririko ni lengwa pamoja na jina pamoja na mmiliki. Hizi ni sehemu zinazostahimili kukutana na tukio halisi:
| Field | Why it has to be written down |
|---|---|
| Destination prefix and address family | The route is per family; an IPv4 note says nothing about a AAAA answer |
| Selected tunnel or direct path | Names the decision, not the symptom |
| Private namespace and resolver | Which domain, which server, which search suffix |
| Public name path | Confirms public names do not accidentally use the private resolver |
| Where the rule lives | Client profile, server push, OS policy or management tool |
| Owner and review date | Namespaces change owner more often than routes change |
Mstari wa "inaishi wapi" ndio ambao watu huuruka. Kiambishi awali kinachosukumwa na seva, njia inayoongezwa na wasifu wa mteja na njia iliyochapwa kwenye shell hutofautiana kwa nani anaweza kuzibadilisha na ikiwa zinastahimili muunganisho upya. Bila sehemu hiyo, mhandisi anayefuata hawezi kusema ni ipi kati ya tatu anayoiona.
Jaribio moja kwa kanuni, si moja kwa handaki
Kila mstari unahitaji ukaguzi mbili usio na madhara: mmoja unaofanyia mazoezi njia na mmoja unaofanyia mazoezi jina. Kwa njia, omba kitu ambacho lazima kivuke handaki na uthibitishe njia badala ya ufikiaji, kwa mfano tracert -d 10.20.4.11 kwenye Windows au ip route get 10.20.4.11 kwenye Linux. Kwa jina, uliza jina la kibinafsi na urekodi seva ipi ilijibu, ukitumia resolvectl query files.corp.example au dig files.corp.example dhidi ya kitatuzi kinachotajwa na noti.
Ongeza pia matarajio hasi: nini kinapaswa kutokea handaki ikiwa imezimwa. Programu iliyotengwa kwenye kifaa cha Android au iOS kilicho na kuzuia bila VPN kimewashwa inaweza kukosa muunganisho kabisa, na mteja wa mezani anaweza kuiacha programu hiyo hiyo ikifanya kazi wakati handaki inaunganisha upya. Kurekodi jibu lililokusudiwa kunageuza "VPN ilivunja programu yangu" kuwa kauli inayoweza kukaguliwa.
Weka rekodi pamoja na usanidi
Hifadhi noti kando ya wasifu inaoeleza na uipe toleo pamoja na wasifu huo. Hati ya wiki ambayo hakuna anayeis sahihi ni uvumi; jedwali katika hazina moja na njia zilizosukumwa na sera ya kitatuzi linaweza kukaguliwa katika mabadiliko hayo hayo.
Kitu kinapovunjika, linganisha njia iliyotumika na kitatuzi kinachofanya kazi na rekodi kabla ya kuongeza msamaha mwingine. Sababu mbili kati ya tatu za kawaida — kanuni ya zamani ya nafasi ya majina na mchakato msaidizi nje ya sera ya programu — zinaonekana kama hitilafu ya VPN na hazionekani ikiwa noti inaorodhesha viambishi awali pekee.
Kabla ya kutangaza noti imekamilika, thibitisha kuwa inajibu kwa maandishi haya: kiambishi awali kipi, kwa familia ipi ya anwani; nafasi ipi ya majina ya kibinafsi, iliyojibiwa na kitatuzi kipi; majina yapi yanabaki hadharani kwa makusudi; kila kanuni imesanidiwa wapi na nani anamiliki; na amri moja inayothibitisha njia na ile inayothibitisha jina. Ikiwa mojawapo haipo, tukio linalofuata litachunguzwa kuanzia mwanzo.