Etki Alanı Tabanlı VPN Yönlendirmesi ve IP Rotaları: Hangisi Uygun?
Bölünmüş tünel kutusundaki bir ana makine adı rota değildir. Etki alanı kurallarını ve açık önekleri yenileme, alt etki alanı kapsamı ve DNS değiştiğinde ne olduğu açısından karşılaştırın.
Bir IP rotası bir adres önekiyle eşleşir ve çekirdek daha fazla soru sormadan onu uygular. Etki alanı tabanlı bir VPN kuralı bir adla eşleşir; bu, yığındaki bir şeyin o adın şu anda hangi adresleri ifade ettiğine karar vermesi ve bu kararı güncel tutması gerektiği anlamına gelir. Bunlar farklı arıza biçimlerine sahip farklı mekanizmalardır ve satıcılar ikisi için de aynı sözcüğü kullanır. Bunları özellik listelerinde karşılaştırmak asıl noktayı kaçırır; yanıt değiştiğinde ne olduğuna göre karşılaştırın.
Yararlı ayrım, çözen bir kural ile çözmeyen bir kural arasındadır.
Her kural gerçekte neyle eşleşir
Önek kuralı, yönlendirme tablosundaki hedef adreslerle eşleşir. Hiçbir şey çözülmez, hiçbir şey süresi dolmaz ve eşleşme her paket için tamdır. Etki alanı kuralı, bir uygulamanın ad isteğiyle eşleşir; bu adı RFC 1034 bir adres değil, etiketlerden oluşan bir ağaç olarak tanımlar. Bazı ürünler adı bir kez çözer ve elde edilen adresleri rota olarak kurar; bu da kuralı, üzerine bir yenileme zamanlayıcısı eklenmiş bir IP kuralına dönüştürür.
Hata ayıklamadan önce bu ikisinden hangisine sahip olduğunuzu bilin, çünkü arıza her durumda tamamen farklı görünür.
Etki alanı kuralı yığında nerede yaşar
Ürün etki alanı kurallarını yerel bir vekil sunucu üzerinden uyguluyorsa trafik o vekile ulaşmalıdır ve sistem vekilini yok sayan uygulamalar kuralı tamamen atlar. Adları çözerek ve rota ekleyerek uyguluyorsa adresler yalnızca son yenileme kadar tazedir. Çözümleyiciye bağlanıyorsa DNS davranışı yönlendirme ilkesinin parçası olur ve yedek bir çözümleyici bunu sessizce geçersiz kılabilir.
Ayarın etiketini değil satıcının modelini okuyun. Split Tunnel adlı bir kutusu olan iki istemci üç farklı şey yapıyor olabilir.
Neyin bozulduğunu karşılaştırın
Üç şey farklı biçimlerde bozulur. Adres değişimi: bir CDN ana makine adı dakikalar içinde farklı bir adres kümesine çözülebilir, bu yüzden kopyalanmış liste hızla eskir. Alt etki alanı kapsamı: example.com için bir kural api.example.com'u kapsayabilir ya da kapsamayabilir ve belgeler genellikle hangisinin geçerli olduğunu açıkça söyler. Çözümleme hatası: çözümleyici başarısız olduğunda, çözen istemci trafiği tünele yönlendirmeye veya doğrudan göndermeye geçebilir.
Yalnızca ikincisi bir yapılandırma sorunudur. Diğer ikisi, ürünün ne kadar tahmin etmeye istekli olduğuna dair tasarım sorularıdır.
| Behaviour | Prefix rule | Domain rule |
|---|---|---|
| Match basis | destination address | requested name or resolved addresses |
| Staleness | none | depends on refresh policy |
| Subdomain scope | not applicable | product-defined |
| Resolver outage | unaffected | product-defined fallback |
| Where to debug | routing table | client log plus resolver state |
Önekin daha iyi yanıt olduğu durum
Kararlı bir özel alt ağ için açık bir önek daha nettir, daha hızlıdır ve denetlemesi daha kolaydır. Çözülecek bir şey olmadığı için çözümleyici kesintisine de dayanır. Hizmet barındırılıyorsa, adresler dönüyorsa veya hedef kümesini gerçekten sayamıyorsanız etki alanı kuralına başvurun. Yalnızca ana makine adı tesadüfen bildiğiniz şey olduğu için ona başvurmayın.
Tahmin edilmiş statik liste ikisinin en kötüsüdür: bakımlı görünür ve sağlayıcı bir ana makine eklediği gün trafiği sessizce kaçırır.
Yeni bir istekle doğrulayın
Normal bir yeniden bağlanmadan sonra soğuk bir istekle test edin, çünkü önbelleğe alınmış bir sayfa kurala hiç dokunmayabilir. Adı çözün, ardından bağlantının gerçekte nereye gittiğini kontrol edin. dig +short app.example.com geçerli adres kümesini verir ve istemcinin bağlantı listesi akışı hangi arabirimin taşıdığını söyler.
Ürünün belgelediği yenileme aralığından sonra yineleyin. Adres kümesi kayarsa ve kural onu izlemezse gerçek davranışı bulmuşsunuzdur.
Çözümleyici ilkesini de ayrı tutun. Etki alanı kuralı doğru ad verisine ihtiyaç duyar, ancak sorguya hangi çözümleyicinin yanıt vereceğine kendi başına karar vermez.