Kwa nini kanuni yako ya split tunnel iliacha kuendana na huduma

Split tunneling kwa kawaida hushindwa kwa njia moja kati ya mbili. Aidha trafiki inayopaswa kuwa ndani ya handaki huizunguka, au trafiki inayopaswa kubaki nje huvutwa ndani. Kushindwa kwa kanuni iliyopitwa na wakati ni aina ya kwanza, na ndiyo inayochanganya zaidi, kwa sababu kanuni inatekelezwa kama ilivyoandikwa. Kilichobadilika ni lengwa: huduma sasa hujibu kwa anwani ambayo kanuni haikuwahi kutaja, na hakuna kitu kibaya ndani ya handaki.

Kanuni inabana nini na DNS hurudisha nini

Kanuni ya split tunnel ni tamko tuli kuhusu malengo, kwa kawaida huonyeshwa kama kiambishi awali, njia au orodha ya anwani. Hupimwa dhidi ya lengwa la pakiti wakati wa kutuma. Jina la mwenyeji ni utafutaji unaorudisha seti ya anwani zenye muda wa maisha na akiba, na jibu linaweza kutofautiana kwa resolver, kwa aina ya swali na kwa dakika.

Vitu hivyo viwili havijadiliani kamwe. Kanuni inaendelea kuendana na kiambishi awali ilichopewa, huduma inaendelea kubadilisha anwani inayotoa, na pengo kati yao hukua kimya. Ndiyo sababu dalili huonekana baada ya uhamisho wa mtoa huduma au uhuishaji wa cheti na si baada ya mabadiliko ya usanidi. Hakuna aliyebadilisha handaki, kwa hiyo hakuna anayeangalia handaki, na uchunguzi huelekea programu badala ya sera.

Njia tatu ambazo ulinganifu huvunjika

Kesi iliyo wazi ni huduma iliyohamia: mwendeshaji aliyoipa anwani mpya, DNS ilifuata, na msamaha haukufuata. Ya pili ni familia ya anwani ambayo kanuni haikuwahi kuifunika, jambo ambalo hutokea wakati jina linapoanza kurudisha rekodi za AAAA ambazo msamaha wa IPv4 pekee hupuuza. Ya tatu ni tofauti ya resolver: mwonekano wa ndani na wa umma unaweza kurudisha anwani tofauti kwa jina moja, kwa hiyo anwani ambayo programu yako hutumia si ile uliyojaribu nayo.

Muunganisho uliohifadhiwa kwenye akiba ni aina ya nne na ni rahisi kuukosa. Programu inaweza bado kuzungumza na anwani iliyoitatua saa moja iliyopita, ambayo ina maana kwamba utafutaji wako mpya na socket yake iliyo wazi hazikubaliani kuhusu huduma iko wapi.

Soma lengwa ambalo programu hutumia kweli

Uliza mfumo wa uendeshaji na jedwali la socket, si kichupo cha kivinjari. Utafutaji hujibu jina linatatuliwa kuwa nini sasa hivi, na jedwali la socket huonyesha anwani ambayo mchakato umeunganishwa nayo, ambayo inaweza kuwa ya zamani zaidi. Endesha zote mbili kabla ya kuunda nadharia, kwa sababu tofauti kati yao yenyewe ni jibu katika karibu nusu ya kesi.

getent ahosts api.example.com
dig +short api.example.com A
dig +short api.example.com AAAA
ss -tnp | grep -F api
ip route get 203.0.113.40

Kisha linganisha na kile kanuni inachofunika. Ikiwa anwani ya sasa iko nje ya msamaha na ombi bado linashindwa, umepata sababu bila kugusa usanidi wa handaki. Ikiwa programu imeunganishwa na anwani inayolingana na kanuni na ombi bado linashindwa, tatizo liko ng'ambo ya handaki na huu ni uchunguzi usiofaa.

Rekebisha utaratibu, si dalili

Ikiwa bidhaa inaunga mkono uelekezaji unaotunzwa wa kikoa, itumie na ufuate tabia yake ya kusasisha na wigo iliyoandikwa. Hiyo hubadilisha dhana tuli na jibu linalotunzwa, kwa gharama ya kutegemea kipengele kifanye kazi kama ilivyoandikwa.

Ikiwa muundo unategemea orodha tuli, ipe mmiliki na mpango wa kusasisha. Mpango unapaswa kusema jinsi anwani inavyogunduliwa, nani anaidhinisha mabadiliko na jinsi orodha inavyotarajiwa kufuata uhamisho wa mtoa huduma haraka kiasi gani. Orodha isiyo na mmiliki ni usumbufu wa baadaye wenye sababu inayojulikana.

Usipanue msamaha hadi kwenye mtandao mkubwa wa jirani kwa ajili tu ya kunasa kila anwani uliyoiona wakati wa jaribio fupi. Hiyo si ukarabati; ni mabadiliko ya kudumu kwenye mpaka wa usalama, na itawaacha huduma zisizohusiana zikipita handaki kimya mradi kanuni ipo.

Thibitisha nusu zote mbili za nia

Muundo wa split tunnel una nia mbili, na ukarabati unapaswa kuhifadhi zote mbili. Huduma iliyolindwa lazima ipite ndani ya handaki, na makundi yaliyotengwa lazima yaendelee kuizunguka. Jaribu muunganisho mpya kwenda lengwa lililorekebishwa, kisha jaribu kitu kinachopaswa kubaki nje.

curl -sv --max-time 5 https://api.example.com/ -o /dev/null 2>&1 | grep -E 'Trying|Connected to'
curl -sS --max-time 5 https://public.example/ -o /dev/null -w '%{http_code}\n'

Andika anwani mpya, utaratibu uliochagua na tarehe. Dokezo hilo ndilo linalomzuia mtu anayefuata kuhitimisha kwamba VPN ilipuuza usanidi wake yenyewe bila mpangilio.