แล็ปท็อปพเนจร: ชื่อที่มั่นคงหรือที่อยู่สำนักงานแบบตายตัว?

คุณเปิดคอนโซลการจัดการจากที่บ้าน ค้นหาแล็ปท็อปด้วยชื่อ และได้ที่อยู่ที่ใช้ไม่ได้อีกต่อไปเมื่อมันออกจากสำนักงาน สัญชาตญาณคือการย้ายที่อยู่สำนักงานไปยังอะแดปเตอร์ VPN เพื่อให้ทุกอย่างทำงานต่อ การแก้ไขนั้นมักทำให้สิ่งอื่นเสีย เพราะการค้นหาอุปกรณ์ การอนุญาตทราฟฟิกของมัน และการทำให้เซสชันยังมีชีวิตอยู่เป็นปัญหาที่แตกต่างกันสามข้อ แยกมันออกจากกันก่อนเลือกการออกแบบที่อยู่

แยกข้อกำหนดทั้งสาม

เขียนลงไปว่าข้อใดในสามข้อที่ล้มเหลวจริง ๆ บุคคลหรือเครื่องมือหาบริการไม่พบ เซิร์ฟเวอร์ปฏิเสธคำขอเพราะที่อยู่ต้นทางไม่อยู่ในรายการ หรือแอปพลิเคชันหลุดเมื่ออินเทอร์เฟซเปลี่ยน ในสเปรดชีตมันดูเหมือนกันและต้องการการแก้ไขที่ต่างกัน

ข้อร้องเรียนเรื่องการพเนจรส่วนใหญ่ตกอยู่ในตะกร้าแรกและแก้ไขได้ใน DNS การตั้งชื่ออัตลักษณ์ที่มั่นคงนั้นราคาถูกและครอบคลุมกรณีแรก การรักษาที่อยู่มีราคาแพงและช่วยกรณีที่สองได้ก็ต่อเมื่อมีการเขียนนโยบายใหม่อยู่แล้ว

ทำให้ชื่อเป็นสิ่งที่มั่นคง

ให้ชื่อแล็ปท็อปที่แก้ไปยังที่อยู่ใดก็ได้ที่ผู้เรียกเข้าถึงได้ ในตัวอย่างนี้ที่อยู่สำนักงานคือ 192.168.50.42 พูลการเข้าถึงระยะไกลให้ 10.90.0.42 และ laptop17.corp.example ติดตามการเชื่อมต่อ ไม่มีอะไรกำหนดให้อ็อกเท็ตสุดท้ายตรงกัน และการออกแบบรอบการตรงกันนั้นสร้างงานโดยไม่มีประโยชน์ บันทึกควรชี้ไปยังที่อยู่ที่ผู้เรียกใช้ได้จริง ไม่ใช่ทุกอินเทอร์เฟซที่แล็ปท็อปเคยมี

dig +short laptop17.corp.example

ตัวแก้ชื่อแคชคำตอบ การเปลี่ยนแปลงจึงไม่ทันทีสำหรับทุกคน TTL สั้นช่วยได้ และตรรกะการเชื่อมต่อใหม่ของแอปพลิเคชันช่วยได้มากกว่า

เมื่อรายการต้นทางที่อนุญาตเป็นข้อจำกัดจริง

รายการต้นทางที่อนุญาตเห็นที่อยู่ที่บริการที่ได้รับการป้องกันได้รับ หลังการแปลงใด ๆ มันมักเป็นที่อยู่ของเกตเวย์หรือ NAT ไม่ใช่ของแล็ปท็อปเอง นั่นคือเหตุผลที่การแก้ไขระเบียน DNS ไม่เคยซ่อมคำขอที่ถูกปฏิเสธ อัปเดตนโยบายสำหรับที่อยู่ที่มาถึงจริง หรือแทนที่รายการด้วยอัตลักษณ์ที่ผ่านการรับรอง

ดักคำขอที่ได้รับการยอมรับหนึ่งรายการบนเซิร์ฟเวอร์และอ่านฟิลด์ต้นทาง จากนั้นทำซ้ำจากเส้นทางระยะไกล หากที่อยู่ทั้งสองต่างกัน นโยบายต้องมีสองรายการหรือกลไกอื่น บันทึกที่อยู่ทั้งสองพร้อมรายการนโยบายเพื่อให้คนถัดไปเห็นว่าทำไมจึงมีสอง การใช้ที่อยู่ที่ใช้งานอยู่แล้วบนลิงก์เดียวกันซ้ำ เป็นปัญหาความขัดแย้งแยกต่างหากที่มีกฎการตรวจจับของตัวเอง

ความต่อเนื่องต้องการอะไรจริง ๆ

ความต่อเนื่องของการเชื่อมต่อเป็นข้อกำหนดที่ยากที่สุดและเป็นข้อที่ถูกตีความผิดบ่อยที่สุด การเชื่อมต่อ TCP ถูกระบุด้วยที่อยู่ทั้งสองและพอร์ตทั้งสอง ดังนั้นที่อยู่ภายในใหม่จึงเป็นการเชื่อมต่ออื่นไม่ว่า DNS จะว่าอย่างไร แอปพลิเคชันที่สำคัญต้องเชื่อมต่อใหม่ ซึ่งหมายถึงชั้นเซสชันหรือไคลเอนต์ที่ลองใหม่ ไม่ใช่กลเม็ดเครือข่าย สังเกตเซสชันระหว่างการย้ายและอาการหลุดจะเกิดขึ้นทันที ไม่ใช่ค่อยเป็นค่อยไป

ss -tnp state established '( dport = :443 )'

การโคลนที่อยู่ MAC ก็ไม่ได้แก้เรื่องนี้เช่นกัน อัตลักษณ์สัญญาเช่า DHCP สามารถใช้ตัวระบุไคลเอนต์ที่ชัดเจน และอินเทอร์เฟซสองตัวที่ใช้ร่วมกันหนึ่งอัตลักษณ์ยังต้องมีเส้นทางที่ประสานกัน ปฏิบัติต่อการเคลื่อนที่ในฐานะการออกแบบแอปพลิเคชันและการจัดสรร และรักษาอัตลักษณ์ของอุปกรณ์ให้มั่นคงในขณะที่ที่อยู่ของมันติดตามเครือข่าย