AWS Client VPN DNS: subnet emas, VPC resolver-dan foydalaning

Endpoint 10.0.8.0/24 ichida, shuning uchun resolver 10.0.8.2 bo‘lishi kerak. Bu eng ko‘p eshitadigan mulohaza va u ikki marta noto‘g‘ri. Route 53 Resolver VPC ning asosiy IPv4 diapazoni plyus ikkida javob beradi, bu 10.0.0.0/16 VPC uchun 10.0.0.2, endpoint qaysi subnet-dan foydalansa ham. Ikkinchi xato jimroq: endpoint-ga to‘g‘ri manzilni qo‘yish klient operatsion tizimi undan hech narsa so‘raydi degani emas. Ikkala xato ham bir xil alomat beradi: nomlarni hal qilish ba’zi klientlarda ishlaydi, boshqalarida muvaffaqiyatsiz tugaydi.

Afsona subnet bog‘lanishidan boshlanadi

Bog‘lanish klient ulanishlari uchun elastik tarmoq interfeyslari qayerda joylashganiga oid, qaysi resolver manzili borligiga emas. Endpoint subnet-lari klientlarga VPC ichida manzil beradi va ularning har biri o‘z resolver-iga ega emas.

Bu ikki fikrni ajratganingizdan so‘ng arifmetika sirli bo‘lishdan qoladi va muammoni bartaraf etish klientga o‘tadi, bu ishlarning ko‘pchiligi haqiqatan ham o‘sha yerda tugaydi.

Manzilni VPC ning asosiy diapazonidan hisoblang

VPC ning asosiy IPv4 CIDR-ini oling va tarmoq manziliga ikki qo‘shing. 10.0.0.0/16 10.0.0.2 beradi, 172.31.0.0/16 172.31.0.2 beradi, ikkilamchi diapazonli VPC esa resolver-ni asosiy diapazonda ushlab turadi. O‘sha VPC ichidagi 10.0.8.0/24 subnet uni siljitmaydi. Endpoint-ga tegishdan oldin manzilni VPC ID yoniga yozib qo‘ying, chunki bu raqam VPC ning xususiyati, ulanishning emas.

VPC link-local 169.254.169.253 manzilida ham javob beradi. Bu manzil VPC ichidan yetib boriladi, ammo tunnelning narigi tomonidagi noutbuk uchun bu umumiy marshrutlanadigan manzil emas.

Demak ikki amaldagi resolver manzili bor va ularning hech biri subnet plyus ikki emas.

Endpoint sozlamasi nima qiladi va nima qilmaydi

Client VPN endpoint-da DNS server maydonlari bor va konsol VPC resolver variantini taklif qilgan joyda o‘sha fikrni to‘ldiradi. Ularni sozlash ulanish o‘rnatilayotganda xizmat klientlarga nima berishini o‘zgartiradi. Bu boshqarilmaydigan OpenVPN klientining bu qiymat bilan nima qilishini o‘zgartirmaydi, chunki klient uni baribir operatsion tizimga tatbiq etishi kerak. «Mening Mac-imda ishlaydi, lekin Linux mashinasida yo‘q» degan gap shu bo‘shliqdan chiqadi.

Linux-da resolver integratsiyasi ulanish menejeriga tegishli, foydalanuvchiga emas. /etc/resolv.conf ni qo‘lda tahrirlash manzil bir seans uchun ishlashini, keyin qayta ulanganda yo‘qolishini isbotlaydi — shuning uchun tuzatilgan ko‘p holatlar ertasi kuni ertalab qaytadi.

Ulanganidan keyin klientdagi faol resolver-ni tekshiring, endpoint ning konfiguratsiya sahifasini emas.

Split tunneling to‘g‘ri resolver-ni yengishi mumkin

Split tunneling bilan faqat tunnelga surilgan marshrutlar ishlatiladi. Agar resolver manzili hech qanday marshrut bilan qoplanmagan bo‘lsa, so‘rov lokal interfeysdan chiqadi va uy routeringiz javob beradi. Endpoint-dagi manzil hali ham to‘g‘ri, qidiruv hali ham muvaffaqiyatsiz. Resolver uchun marshrut qo‘shing, keyin yana sinab ko‘ring.

Bir-birini qoplaydigan lokal diapazonlar bir xil natijani yomonroq ko‘rinishda beradi: so‘rovga javob keladi, faqat noto‘g‘ri serverdan.

Amazon DNS manzili uchun security groups ochmang

Qidiruvlar vaqti tugaganda instinkt resolver manziliga UDP 53 ruxsat beruvchi qoida qo‘shishdir. AWS hujjatlashtiradi: security groups va tarmoq ACL-lari Amazon DNS trafigini o‘z DNS instansingizga ketadigan trafik kabi filtrlamaydi. Bu qoidalarni ochish VPC resolver uchun hech narsani o‘zgartirmaydi va chegarani sababsiz kengaytiradi. O‘zingiz yuritadigan resolver boshqa holat va unga haqiqatan o‘z qoidalari kerak.

Dizayningizda ikkalasi ham bo‘lsa, har qanday qoidani tahrirlashdan oldin klient aslida qaysi biriga qaratilganini tekshiring.

Yo‘lni tekshiring, keyin boshqa narsani o‘lchang

Ochiq nomni hal qiling, VPC bilan bog‘langan xususiy hosting zonasida ro‘yxatga olingan xususiy nomni hal qiling va ikkalasi orasida klientning faol resolver-ini o‘qing. Bu ketma-ketlik «resolver manzili noto‘g‘ri» holatini «zona bog‘lanmagan» va «klient sozlamani e’tiborsiz qoldirgan» holatlaridan ajratadi. Har birining tuzatishi boshqacha va hech biri o‘tkazish qobiliyati muammosi emas.

Muvaffaqiyatli qidiruv barqaror uzatish tezligi haqida hech narsa demaydi, shuning uchun hisobot berishda bu ikki suhbatni alohida saqlang.