Özel DNS adı mı yoksa yalnızca IP mi? Paylaşmadan önce karar verin

Özel bir hizmet uzak kullanıcılara açıldığında iki soru birbirine karışır. Birincisi istemcilerin hangi adı kullanması gerektiğidir; ikincisi hizmetin hangi kaynakları kabul etmesi gerektiğidir. Bunları bu sırayla yanıtlayın, çünkü yanlış erişim kuralının arkasındaki doğru ad yine de başarısız olur ve çözülemeyen bir adın arkasındaki doğru kural hiçbir zaman test edilmez.

Birinci koşul: istemcilerin hangi çözümleyici yolu var?

Özel bir ad yalnızca istemcinin çözümleyicisi onu yanıtlayabiliyorsa çalışır. Bu, yetkili bir uzak istemcinin bölgeyi tutan bir DNS sunucusuna ulaşması gerektiği anlamına gelir; ya tünel üzerinden ya da kuruluşun uzak kullanıcılar için zaten çalıştırdığı bir çözümleyici üzerinden. Tünel bir taşıma aracıdır, dizin değildir. İstemciye çözümleyiciye giden bir yol verir ve hangi bölgenin sorulacağını söylemez.

resolvectl query files.corp.example
dig @10.20.30.10 +short files.corp.example

Genel bir çözümleyici, dizüstü bilgisayar bir VPN'e bağlandı diye özel bir bölgeyi öğrenmez.

Sonek de aynı önemi hak ediyor. Kuruluşun denetlediği bir alan adının alt alan adını kullanın, böylece sahiplik ve sertifika planlaması açık kalsın. .local kullanmayın: multicast DNS belirtimi bu soneki link-local çözümlemeye bağlar ve yönlendirilmiş bir tünel bu davranışı sizin için yeniden üretmez.

İkinci koşul: hizmet hangi kaynağı alır?

Kabul kuralları adreslere göre yazılır, bu yüzden faydalı soru, yönlendirme ve çeviriden sonra hizmetin hangi adresi gördüğüdür. 10.20.30.40 adresindeki örnek bir hizmet için ofis istemcileri 10.20.30.0/24 ağından, uzak istemciler ise 10.99.0.0/24 gibi ayrı bir havuzdan gelir.

Bir ağ geçidi uzak havuzu çevirirse hizmet çeviriciyi görür ve 10.99.0.0/24 için yazılmış kural eşleşmez.

Bunu istemci tarafından değil hizmet tarafından okuyun. Hizmet ana bilgisayarındaki dinleyici günlüğü veya paket yakalama, gerçekte gelen kaynağı gösterir; istemcinin kendi adresi yalnızca yoldan neyin sağ çıktığına dair bir tahmindir.

Üçüncü koşul: ad bir hizmete mi yoksa bir ana bilgisayara mı bağlı?

Tek bir makinenin adresine işaret eden bir ad, her istemciyi o makineye bağlar. Bir yük dengeleyiciye veya kararlı bir hizmet adresine işaret eden ad, arkasındaki ana bilgisayarın değiştirilmesine dayanır. Bilinçli seçin, çünkü bunu sonradan değiştirmek her istemcinin yer imlerini ve her sertifikanın konusunu değiştirmek anlamına gelir.

Tek bir iç hizmet için doğrudan kayıt genellikle uygundur ve düşünmesi daha kolaydır.

Değiştirilecek, yeniden kurulacak veya ölçeklenecek her şey için kararlı bir ön uç ek yapılandırmaya değer. Test basittir: arka ucu kullanıcılara söylemeden değiştirebiliyorsanız ad hizmete bağlıdır; değiştiremiyorsanız ana bilgisayara bağlıdır.

İki kararı ayrı ayrı test edin

Önce çözün, sonra bağlanın. Beklenen adresi döndüren bir çözümleme testi ad yolunu kanıtlar ve erişim hakkında hiçbir şey söylemez. Bir bağlantı testi yolu ve kuralı birlikte kanıtlar, bu yüzden yalnızca çözümleme başarılı olduktan sonra çalıştırın.

curl -sv --max-time 5 https://files.corp.example/health

Ardından yasak bir kaynağı bir kez test edin ve sonucu kaydedin.

İki kaydı belgelerinizde ayrı tutun: adı ve bölgesi, kabul edilen kaynaklar ve kuralın sahibi. Biri değiştiğinde diğeri değişmek zorunda değildir.

Karar genellikle nerede yanlış gider

Yaygın başarısızlık, yalnızca ofis ağında çözülen bir ad altında yayımlanan ve yalnızca ofis aralığını kabul eden bir erişim kuralı olan hizmettir. Uzak kullanıcılar o zaman bozuk bir hizmet bildirir; oysa gerçekte bu iki ayrı eksikliktir. İkinci yaygın başarısızlık tersidir: ad sorununu ortadan kaldırmak için eklenen geniş bir erişim kuralı, hizmeti kimsenin amaçlamadığı kaynaklardan erişilebilir bırakır. İkisi de yapılandırma eksikliğidir ve kullanıcının koltuğundan aynı görünürler.

Hataların hiçbiri tek bir başarılı testten görülmez. Bu yüzden iki karar ayrı kayıtları ve ayrı testleri hak eder, aynı kişi ikisini de verse bile.

Hizmet canlıya geçmeden önce ikisini de yazın, çünkü sonraki değişikliği düşünmek daha kolay olacaktır. Kayıt kısadır: adı ve bölgesi için bir satır, kabul edilen kaynaklar ve kuralın sahibi için bir satır.