Bir SRV kaydı neden yalnızca onu kendisi sorgulayan istemciye yardım eder

Bölgenize bir SRV kaydı eklemek hiçbir VPN istemcisine onu aramayı öğretmez. İstemcinin etiketi bilmesi, sorguyu göndermeye karar vermesi ve geri dönene göre davranması gerekir, DNS ise bunların ilk ikisini sağlayamaz. Bu yüzden başarısız SRV planlarının çoğu DNS kılığına girmiş istemci sorunlarıdır. Önce istemcinin keşif davranışını okuyun, sonra yalnızca gerçekten sorguladığı etiketi yayımlayın.

Kimsenin sorgulamadığı bir kayıt kimseye yardım edemez

SRV bir hizmetin konumunu yayımlar; hizmeti duyurmaz. Hiçbir şey bir kaydı istemciye doğru itmez ve hiçbir çözümleyici hiç sorulmamış bir adı kendiliğinden sunmaz. Arama, uygulama bunu yapmaya karar verdiğinde başlar; bu yüzden etiket ürünün belgelerinden veya yazılımın ağda gözlemlenmesinden gelmelidir. İstemcinin keşif adımı olmadığı yerde bir kayıt bölgeyi değiştirir, başka bir şeyi değil.

Bu yüzden bir ağdaki bir ürün çalışmaya başlayabilirken diğeri aynı değişiklikten etkilenmez. Değişken yazılımdır ve DNS sunucusu kendisine söyleneni tam olarak yapar. Düzenlemeden sonra bölgeyi yeniden okuyun, çünkü yanlış yazılmış bir etiket hepsi aynı görünen kayıtlar arasında kolayca saklanır.

Alanları yazmadan önce okuyun

Bir kayıt dört değer taşır ve her biri farklı bir soruyu yanıtlar: öncelik istemcinin deneyebileceği hedefleri sıralar, ağırlık eşit öncelikli hedefler arasında yükü paylaştırır, bağlantı noktası taşıma bağlantı noktasını adlandırır ve hedef ana bilgisayarı adlandırır. Belirtim ayrıca . hedefinin hizmetin kasıtlı olarak kullanılamaz olduğu anlamına gelmesine izin verir; bu bozuk bir yanıt değil yararlı bir yanıttır.

Bu alanların hiçbiri kimlik bilgisi, sertifika politikası veya uygulama sürümü taşımaz ve ağırlığı yok sayan istemci yine de bağlanır, yalnızca amaçlanan denge olmadan. Hedefin kendi adres kayıtlarına ihtiyacı vardır ve takma ad değil kanonik ad olmalıdır. Dinleyicisi olmayan bir ana bilgisayarı gösteren bir kaydı yayımlamak, DNS arızası gibi okunan bir bağlantı hatası üretir ve bu, yanıltmanın en pahalı türüdür. Tüm zinciri yayımlayın ya da hiçbirini yayımlamayın.

İstemcinin gerçekten gönderdiği etiketi bulun

Etiketi ürünün adına ilişkin bir tahminden değil kanıttan belirleyin. Ya belgeler hizmet adını verir ya da bir kayıt, istemcinin başlarken gönderdiği sorguyu gösterir. İki yol da aynı yerde biter: çözümleyiciye karşı test edilecek kesin ad ve tür.

dig +short SRV _vpn._tcp.gw.example
dig +short A edge2.gw.example
tcpdump -ni any udp port 53

Yanıtı yayımladığınız kayıtla karakter karakter karşılaştırın, çünkü alt çizgiler ve sondaki nokta adın parçasıdır. Gerçekten gönderilen bir sorguya boş yanıt bölgeyi işaret eder, hiç sorgu olmaması ise istemciyi işaret eder ve bu bulgular sizi farklı ekiplere yönlendirir. Gerçek bir yanıt aşağıdaki satıra benzer; burada 20 önceliği daha düşük öncelikli herhangi bir kayda yenilir ve istemci belirtilen hedefte 8443 bağlantı noktasını arar.

_vpn._tcp.gw.example. 600 IN SRV 20 10 8443 edge2.gw.example.

Hedefin de var olması gerekir

Çözülen bir hedef, yanıt veren bir hizmetle aynı şey değildir. Hedefin adres kayıtlarını denetleyin, ardından yayımlanan bağlantı noktası ve protokolde bir şeyin dinleyip dinlemediğini denetleyin. Yalnızca UDP dinleyicisine işaret eden bir TCP kaydı, hiçbir bölge düzenlemesinin onaramayacağı bir uyumsuzluktur. Hedef hareket halindeyken TTL’yi kısa tutun ve ad hareket etmeyi bıraktığında uzatın.

Keşfi gerçekten uygulayan istemciler kaydın ne kadarını gözettiklerinde farklılaşır. Bazıları yalnızca önceliği kullanır, bazıları ağırlığı tavsiye olarak görür ve birkaçı bağlantı noktasını yok sayıp varsayılan bir değer kabul eder. Bu farklar etiketin yanındaki notlarınıza aittir, çünkü aksi halde çözümleyici arızası gibi görünen davranışı açıklarlar.

Keşif kimlik doğrulama değildir

Bir SRV yanıtı nereye bağlanılacağını söyler ve vardığınızda kime güveneceğiniz konusunda hiçbir şey söylemez. İstemcinin sertifika doğrulamasını ve sunucu kimliği denetimlerini tam oldukları gibi bırakın, çünkü başkasının taklit edebileceği bir kayıt güven kararına dönüşmemelidir. DNS yanıtları önbelleğe alınabilir ve bölgeyi denetleyen herkes tarafından düzenlenebilir; bu da onları politika kodlamak için kötü bir yer yapar.

Keşif desteği olmayan bir istemci için kabul ettiği profili veya ağ geçidi URL’sini dağıtın ve hangi ürünün hangi yöntemi kullandığını not edin. Bu not, sonraki yöneticinin bir kayıt ekleyip her yerde çalışmasını beklemesini engeller. SRV belirtimi hedefler arasındaki seçimi açıklar ve onu bir yetkilendirme mekanizması olarak okumak, yararlı bir kaydın güvenlik varsayımına dönüşme yoludur. Bilinçli olarak yayımlayın, etiketi belgelerinizde adlandırın ve istemciyi bunların herhangi birinin önemli olup olmadığına karar veren bileşen olarak görün.