AWS Client VPN இறுதிப் புள்ளி DNS: தீர்க்கப்பட்ட IP-ஐ பொருத்துவது ஏன் தோல்வியடைகிறது
AWS Client VPN இறுதிப் புள்ளியின் பெயரை நீங்கள் தீர்த்த முகவரியால் மாற்றுங்கள், பின்னர் சுரங்கப்பாதை வேலை செய்வதை நிறுத்தும். ஏற்றுமதி செய்யப்பட்ட பெயரையும் அதன் சீரற்ற முன்னொட்டையும் வைத்திருங்கள்.
கடந்த வாரம் dig +short உங்கள் AWS Client VPN சுயவிவரத்தில் உள்ள இறுதிப் புள்ளிப் பெயருக்கு ஒரு முகவரியைத் தந்தது, சுரங்கப்பாதை இணைந்தது. இந்த வாரம் அதே சுயவிவரம் உங்கள் மடிக்கணினியில் 'Connecting' நிலையில் நிற்கிறது, சக ஊழியரின் தொடப்படாத நகல் இன்னும் வேலை செய்கிறது. எதுவும் தடுக்கப்படவில்லை, சான்றிதழ் காலாவதியாகவில்லை. யாரோ இறுதிப் புள்ளியின் ஹோஸ்ட்பெயரை அந்தத் தீர்க்கப்பட்ட முகவரியால் மாற்றிவிட்டார்கள், சேவை இனி அங்கு பதிலளிக்கவில்லை. ஏற்றுமதி செய்யப்பட்ட பெயர்தான் அந்த மாற்றத்தைத் தாங்கும் வகையில் கட்டப்பட்ட பகுதி.
உங்கள் சுயவிவரத்தில் உள்ள பெயர் கேட்கப்படும் பெயராக இல்லாமல் இருக்கலாம்
Client VPN இலிருந்து ஏற்றுமதி செய்யப்படும் சுயவிவரங்களில் பொதுவாக remote-random-hostname இருக்கும். அந்த விருப்பம் இயக்கத்தில் இருக்கும்போது, வாடிக்கையாளர் ஒரு முறை பயன்பாட்டு லேபிளை உருவாக்கி, புள்ளியால் இறுதிப் புள்ளிப் பெயருடன் இணைத்து, கூட்டுப் பெயரைத் தீர்க்கிறது. இறுதிப் புள்ளியின் மண்டலத்தில் உள்ள வைல்ட்கார்டு பதிவு எந்த லேபிளுக்கும் பதிலளிக்கிறது, அதனால்தான் கற்பனையான முன்னொட்டும் தீர்க்கப்படுகிறது, கேள்வியை கையால் மீண்டும் உருவாக்க முயலும்போது இந்தத் தந்திரம் கண்ணுக்குத் தெரியாமல் இருக்கிறது.
எனவே இறுதிப் புள்ளிப் பெயரை முனையத்தில் ஒட்டி பதில் பெறும்போது, வாடிக்கையாளர் இணைக்கும்போது பயன்படுத்தும் பெயரிலிருந்து வேறு பெயரைத் தீர்த்துள்ளீர்கள். அந்த வேறுபாடு சுயவிவரத்தில் திருத்த வேண்டிய குறைபாடு அல்ல. லேபிள் வேண்டுமென்றே மீண்டும் உருவாக்கப்படுகிறது: இந்த விருப்பம் தற்காலிகச் சேமிப்புகள் பழைய பதிலை வைத்திருக்காமல் தடுக்கிறது, மேலும் இது ஒருபோதும் உங்கள் இயந்திரத்தையோ அமர்வையோ அடையாளம் காட்டாது.
வாடிக்கையாளர் இந்த விருப்பத்தை முழுவதுமாகப் புறக்கணிக்கும் இணக்கநிலையை நான் சந்தித்துள்ளேன். AWS தீர்வை ஆவணப்படுத்துகிறது: உண்மையான இறுதிப் புள்ளிப் பெயரை வைத்துக்கொண்டு முன்னால் சீரற்ற சரம் மற்றும் புள்ளியைச் சேர்க்கவும், அதை ஒட்ட வேண்டிய மதிப்பாக அல்லாமல் பெயரிடல் முறையாகக் கருதவும். பழைய வாடிக்கையாளருக்கு அதைப் பயன்படுத்துவது நியாயம்; முன்னொட்டுச் சரத்தை இறுதிப் புள்ளியாகக் கடினமாகக் குறியிடுவது அல்ல.
சேமித்த பதில் சரியாக ஏன் தொடர முடியாது
Client VPN இறுதிப் புள்ளி முகவரிகள் AWS ஆல் நிர்வகிக்கப்படுகின்றன, காலப்போக்கில் மாறுகின்றன, இதை சிறந்த நடைமுறைகள் ஆவணம் தெளிவாகக் கூறுகிறது. பிடிபட்ட பதில் ஒரு தீர்வின் நிழற்படம். அதைக் கடினமாகக் குறியிடும் சுயவிவரம், சேவை நகர்ந்தவுடன் பணிநீக்கம் செய்யப்பட்ட புரவலனை நோக்கிய சுயவிவரமாக மாறும், தோல்வி அரிதாகவே DNS போலத் தெரியும்: இணைப்பு நேர முடிவு அல்லது நின்றுபோன கைக்குலுக்கல் கிடைக்கும், அதனால் மக்கள் வழியமைப்பு மற்றும் சான்றிதழ்களைத் துரத்துகிறார்கள்.
/etc/hosts இல் உள்ள அதே பதில் அதே காலாவதியைக் கூடுதல் சிக்கலுடன் மரபுரிமையாகப் பெறுகிறது. hosts பதிவு மறுதொடக்கம், மீள் ஏற்றுமதி மற்றும் 'வாடிக்கையாளரை மீண்டும் நிறுவு' சரிசெய்தல்களிலிருந்து தப்பிக்கிறது, எனவே முகவரி நகரும் ஒவ்வொரு முறையும் தோல்வி திரும்புகிறது. ஒன்று வாரக்கணக்கில் பாதிப்பின்றி இருந்து, பின்னர் அதைச் சுமந்த ஒவ்வொரு இயந்திரத்தையும் செயலிழக்கச் செய்ததையும், புதிய நிறுவல்கள் சாதாரணமாக இணைந்ததையும் நான் பார்த்துள்ளேன். ஒரே கணக்கில் ஒரு குழு தோல்வியடைந்து மற்றொன்று சரியாக இருப்பது என்ற இந்தப் பிளவுதான் நீங்கள் பெறும் மலிவான துப்பு.
சீரற்றமயமாக்கலின் எல்லையைச் சரியாக வரையறுக்கவும். இது ஒவ்வொரு இணைப்பு முயற்சிக்கும் நிகழ்கிறது. நிறுவப்பட்ட சுரங்கப்பாதை தன் இறுதிப் புள்ளியை மீண்டும் தீர்க்காது, அமர்வின் நடுவில் சேவையகங்களை மாற்றாது, தனிப்பட்ட பயன்பாட்டுக் கோரிக்கைகள் ஒவ்வொன்றும் புதிய VPN புரவலனைத் தேர்ந்தெடுக்காது. அடுத்த முயற்சி மட்டுமே மீண்டும் தீர்க்கிறது, அதனால் பிற்பகல் முழுவதும் வேலை செய்யும் அமர்வு நாளை காலையைப் பற்றி எதுவும் சொல்லாது.
சுரங்கப்பாதை ஏறும்போது சேவை எதைச் சரிபார்க்கிறது
Client VPN, நீங்கள் இணைந்திருக்கும் முகவரி இறுதிப் புள்ளியின் DNS பெயருக்குத் தீர்க்கப்பட்ட முகவரியுடன் பொருந்த வேண்டும் என்று கோருகிறது. அந்த ஒரே நிபந்தனை தொடர்பற்றதாகத் தோன்றும் பல தோல்விகளை விளக்குகிறது: வேறெங்கோ சுட்டும் தனிப்பயன் DNS பதிவு, உண்மையான இறுதிப் புள்ளி முகவரிக்கு அனுப்பும் தனிப்பயன் முன்முனை, மற்றும் மூல முகவரிக்கு மீண்டும் எழுதப்பட்ட சுயவிவரம். AWS தனிப்பயன் பதிவு மற்றும் அனுப்புதல் கலவையைப் புதிய AWS வாடிக்கையாளர்களுடன் தோல்வியாக ஆவணப்படுத்துகிறது. சரிபார்ப்பு குறுகியது; ஒவ்வொரு மாற்றுப்பெயரும் தடை செய்யப்பட்டது என்ற தீர்ப்பு அல்ல.
இது VPN நெறிமுறைகளைப் பற்றிய பொதுவான விதியும் அல்ல. எண்ணியல் remote சாதாரண OpenVPN பயன்பாட்டில் முற்றிலும் செல்லுபடியாகும், பல அவ்வாறே இயங்குகின்றன. கட்டுப்பாடு நிர்வகிக்கப்பட்ட ஏற்பாட்டிலிருந்து வருகிறது, அதன் கீழ் உள்ள நெறிமுறையிலிருந்து அல்ல.
இதுவே சான்றிதழ் சரிபார்ப்பைத் தளர்த்துவதைத் தவறான பிரதிபலனாக ஆக்குகிறது. முகவரி மாற்றத்திற்குப் பிறகு சுயவிவரம் தோல்வியடைந்தால், சேவையகச் சரிபார்ப்பை முடக்குவது தீர்வையோ முகவரிப் பொருத்த நிபந்தனையையோ சரிசெய்வதற்குப் பதிலாக பிழையை நகர்த்தி, எதையும் நம்பும் வாடிக்கையாளரை விட்டுச் செல்கிறது. ஏற்றுமதி செய்யப்பட்ட CA, சேவையகச் சரிபார்ப்பு மற்றும் பரஸ்பர அங்கீகார அமைப்புகளை வந்தபடியே வைத்திருங்கள்.
அனுமதிப் பட்டியல்கள், வெளியேற்றம் மற்றும் தனியார் DNS மூன்று தனித்தனி சிக்கல்கள்
மடிக்கணினி இணைவதற்கு முன் ஒரு இலக்கை அனுமதிக்க வேண்டிய ஃபயர்வால் விதி வெளிப்புறக் கேட்பானைப் பற்றியது. வலையமைப்பு உரிமையாளருக்கு இறுதிப் புள்ளிப் பெயர், போக்குவரத்து மற்றும் அமைக்கப்பட்ட துறையைக் கொடுத்து, அவர்களின் கட்டுப்பாடு சேவையின் DNS நடத்தையைப் பின்பற்ற முடியுமா என்று கேளுங்கள். ஒரு பிடிபட்ட முகவரியை வைத்திருக்கும் விதி எழுதப்படாத காலாவதியுடன் கூடிய நிழற்படம். கட்டுப்பாடு மாற்றமுடியாத இலக்குகளை மட்டுமே ஏற்றுக்கொண்டால், அமைதியாகப் பதிலைக் கடினமாகக் குறியிடுவதற்குப் பதிலாக வெளியீட்டுக்கு முன் அந்த இடைவெளியைத் தீர்க்கவும்.
சுரங்கப்பாதை ஏறிய பிறகு செய்யப்படும் கோரிக்கைகளுக்கு நிலையான மூல முகவரி தேவைப்படும் கூட்டாளருக்கு வேறு தேவை உள்ளது: வெளியேற்றம். ஒரு வலைத்தளம் பார்ப்பது பயன்பாட்டு வழி மற்றும் பிளவு சுரங்கப்பாதைக் கொள்கையைப் பொறுத்தது, வாடிக்கையாளர் இணைந்த முகவரியைப் பொறுத்தது அல்ல. பிளவு சுரங்கப்பாதைப் போக்குவரத்து AWS-ஐ சுத்தமாகத் தொடாமலிருக்கலாம்.
சுரங்கப்பாதைக்குள் உள்ள தனியார் DNS மூன்றாம் அடுக்கு. வாடிக்கையாளர்களுக்கு வழங்கப்படும் தீர்வி இணைந்த பிறகு உள் பெயர்களுக்குப் பதிலளிக்கிறது; சுரங்கப்பாதை இருக்கும் முன் பொது இறுதிப் புள்ளியைத் தீர்க்க முடியாது. இறுதிப் புள்ளித் தீர்வுத் தோல்வியும் உள் பயன்பாட்டுத் தீர்வுத் தோல்வியும் வெவ்வேறு நிலைகளில் நிகழ்கின்றன, அவற்றைக் கலப்பது உங்களைத் தவறான பதிவுக்கு அழைத்துச் செல்கிறது.
முகவரிக் குடும்பமும் அதே பட்டியலில் அடங்கும். IPv4 பதில் IPv6 அல்லது இரட்டை அடுக்கு இறுதிப் புள்ளியின் அனுமதிக்கப்பட்ட வழியைப் பற்றி எதுவும் சொல்லாது, எனவே ஒரு குடும்பத்தில் எடுக்கப்பட்ட நிழற்படம் மற்றொன்றுக்கு ஆதாரம் அல்ல.
எதையும் பொருத்தாமல் ஒரு இணைப்பைச் சரிபாருங்கள்
ஏற்றுமதி செய்யப்பட்ட சுயவிவரத்திலிருந்தே தொடங்கி அது உண்மையில் என்ன கேட்கிறது என்பதைப் படியுங்கள்:
grep -nE '^remote|remote-random-hostname' profile.ovpn
dig +short cvpn-endpoint-ID.prod.clientvpn.REGION.amazonaws.com
ss -tnp | grep -E ':(443|1194)'பின்னர் மூன்று விஷயங்களை ஒப்பிடுங்கள்: சுயவிவரத்தில் உள்ள இறுதிப் புள்ளிப் பெயர், புதிய முயற்சிக்கு வாடிக்கையாளர் தெரிவிக்கும் முகவரி, மற்றும் பெயர் இப்போது எதற்குத் தீர்க்கப்படுகிறது. தீர்க்கப்படும் பெயர் பதிவு பதிலளிக்கிறது என்பதை மட்டுமே நிரூபிக்கிறது; போக்குவரத்தும் அங்கீகாரமும் தனித்தனி, இறுதிப் புள்ளி ping-க்குப் பதிலளிக்க வேண்டியதில்லை. நடுவில் உள்ள உருப்படிக்கு வாடிக்கையாளரின் சொந்தப் பதிவே ஒரே மூலம், எனவே முயற்சியின் போது அதைப் பிடியுங்கள், பின்னர் அல்ல.
| What you see | Usual cause | Next check |
|---|---|---|
| One machine fails, others connect | Pinned address or stale hosts entry on that machine | Diff its profile and hosts file against a working copy |
| Everyone fails at once, no config change | The endpoint address rotated | Confirm the current endpoint configuration with the account owner |
| Tunnel up, internal names fail | Client DNS policy, not endpoint resolution | Inspect the resolver pushed after connection |
இன்று பதிலளிக்கும் முகவரி இன்றைப் பற்றிய ஆதாரம்; பெயரே சேவை செல்லுபடியாக வைத்திருக்கும் விஷயம். கவனிப்பைப் பதிவு செய்து, இறுதிப் புள்ளியை உடையவருக்கு அனுப்பி, சுயவிவரத்தைப் பெயரை நோக்கி வைத்திருங்கள்.
விட வேண்டிய இரண்டு பழக்கங்கள்: நின்றுபோன கைக்குலுக்கலைக் கடக்க சான்றிதழ்ச் சரிபார்ப்புகளை முடக்குவது, மற்றும் ஒன்று ஒட்டிக்கொள்ளும் என்ற நம்பிக்கையில் இறுதிப் புள்ளிப் பெயருக்கு முன் லேபிள்களை அடுக்குவது. லேபிள் வைல்ட்கார்டு பதிவின் மூலம் தீர்க்கப்படுகிறது அல்லது சிக்கல் வேறெங்கோ உள்ளது. சரியாக அமைக்கப்பட்ட சுயவிவரம் இன்னும் தோல்வியடைந்தால், நீண்ட ஹோஸ்ட்பெயர் அல்ல, சரியான கேள்வியையும் இணைப்பு நிகழ்வையும் அனுப்புங்கள்.
மூடுவதற்கு முன்: சுயவிவரம் இன்னும் ஏற்றுமதி செய்யப்பட்ட இறுதிப் புள்ளிப் பெயரைக் கொண்டுள்ளது, எந்த hosts கோப்பும் முகவரியைப் பொருத்தவில்லை, வாடிக்கையாளர் பதிவின் remote தற்போதைய தீர்வுடன் பொருந்துகிறது, ஃபயர்வால் விதி முகவரிக்குப் பதிலாக இறுதிப் புள்ளியைப் பெயரிடுகிறது. அடுத்த நபருக்கு ஒப்படைக்க வேண்டிய நிலையும் இதுவே.