Domain-Based na VPN Routing vs IP Routes: Alin ang Bagay?

Ang ruta ng IP ay tumutugma sa isang prefix ng address, at inilalapat ito ng kernel nang walang dagdag na tanong. Ang panuntunan ng VPN na nakabatay sa domain ay tumutugma sa isang pangalan, na nangangahulugang may isang bagay sa stack na dapat magpasya kung aling mga address ang ibig sabihin ng pangalang iyon sa ngayon at panatilihing napapanahon ang pasyang iyon. Magkaibang mekanismo ang mga ito na may magkaibang paraan ng pagpalya, at ginagamit ng mga vendor ang parehong salita para sa dalawa. Ang paghahambing sa mga listahan ng feature ay nakakaligta ng punto; ihambing sila sa kung ano ang nangyayari kapag nagbago ang sagot.

Ang kapaki-pakinabang na paghahati ay sa pagitan ng panuntunang naglulutas at panuntunang hindi naglulutas.

Ano ang aktwal na tinutugma ng bawat panuntunan

Ang panuntunan ng prefix ay tumutugma sa mga address ng destinasyon sa isang routing table. Walang nalulutas, walang nag-expire, at eksakto ang tugma para sa bawat packet. Ang panuntunan ng domain ay tumutugma sa kahilingan ng isang application para sa isang pangalan, na RFC 1034 ay tinukoy bilang isang puno ng mga label at hindi bilang isang address. Ang ilang produkto ay naglulutas ng pangalan nang isang beses at ini-install ang mga resultang address bilang ruta, na ginagawang isang panuntunan ng IP ang panuntunan na may nakakabit na timer ng refresh.

Alamin kung alin sa dalawa ang mayroon ka bago mag-debug, dahil ganap na magkaiba ang hitsura ng pagpalya sa bawat kaso.

Saan nakatira ang panuntunan ng domain sa stack

Kung ipinapatupad ng produkto ang mga panuntunan ng domain sa pamamagitan ng lokal na proxy, kailangang maabot ng trapiko ang proxy na iyon, at ang mga application na hindi pinapansin ang system proxy ay nilalaktawan ang panuntunan nang buo. Kung ipinapatupad ito sa pamamagitan ng paglutas ng mga pangalan at pagdaragdag ng ruta, ang mga address ay kasing-sari lamang ng huling refresh. Kung ikinakabit ito sa resolver, ang pag-uugali ng DNS ay nagiging bahagi ng patakaran sa routing, at maaaring tahimik na kanselahin ito ng isang fallback na resolver.

Basahin ang modelo ng vendor at hindi ang label ng setting. Dalawang kliyente na may kahon na tinatawag na Split Tunnel ay maaaring gumagawa ng tatlong magkaibang bagay.

Ihambing kung ano ang nasisira

Tatlong bagay ang nasisira sa magkaibang paraan. Pagbabago ng address: ang hostname ng CDN ay maaaring malutas sa ibang set ng address sa loob ng ilang minuto, kaya mabilis na lumala ang kopyang listahan. Saklaw ng subdomain: ang panuntunan para sa example.com ay maaaring masakop ang api.example.com o hindi, at karaniwang malinaw ang dokumentasyon kung alin. Pagpalya ng paglutas: kapag pumalya ang resolver, ang kliyenteng naglulutas ay maaaring bumalik sa pag-tunnel ng trapiko, o sa direktang pagpapadala nito.

Ang pangalawa lamang ang tanong sa configuration. Ang dalawa pa ay mga tanong sa disenyo kung gaano karaming hula ang handang gawin ng produkto.

Kailan ang prefix ang mas mabuting sagot

Para sa isang matatag na pribadong subnet, ang tahasang prefix ay mas malinaw, mas mabilis at mas madaling i-audit. Nakakaligtas din ito sa pagkawala ng resolver, dahil walang kailangang lutasin. Gumamit ng panuntunan ng domain kapag naka-host ang serbisyo, kapag umiikot ang mga address, o kapag talagang hindi mo mailista ang set ng destinasyon. Huwag gamitin ito dahil lamang ang hostname ang bagay na nagkataong alam mo.

Ang hinulaang static na listahan ay ang pinakamasama sa dalawa: mukhang may nag-aalaga at tahimik na nakakaligta sa trapiko sa araw na magdagdag ng host ang provider.

I-verify gamit ang bagong kahilingan

Subukan gamit ang malamig na kahilingan pagkatapos ng normal na muling pagkonekta, dahil ang pahinang naka-cache ay maaaring hindi kailanman umabot sa panuntunan. Lutasin ang pangalan, pagkatapos tingnan kung saan talaga napunta ang koneksyon. dig +short app.example.com ay nagbibigay ng kasalukuyang set ng address, at ang listahan ng koneksyon ng kliyente ay nagsasabi kung aling interface ang nagdala ng daloy.

Ulitin pagkatapos ng agwat ng refresh na dokumentado ng produkto. Kung gumalaw ang set ng address at hindi ito sinusundan ng panuntunan, natagpuan mo na ang tunay na pag-uugali.

Panatilihing hiwalay din ang patakaran ng resolver. Ang panuntunan ng domain ay nangangailangan ng tamang data ng pangalan, ngunit hindi nito nag-iisang pinagpapasyahan kung aling resolver ang sasagot sa query.