Shaxsiy DNS nomi yoki shunchaki IP? Ulashishdan oldin qaror qiling

Shaxsiy xizmat uzoq foydalanuvchilarga ochilganda ikki savol aralashib ketadi. Birinchisi — mijozlar qanday nomdan foydalanishi; ikkinchisi — xizmat qanday manbalarni qabul qilishi. Ularga shu tartibda javob bering, chunki noto'g'ri kirish qoidasi ortidagi to'g'ri nom ham muvaffaqiyatsiz bo'ladi, hal bo'lmaydigan nom ortidagi to'g'ri qoida esa hech qachon sinovdan o'tmaydi.

Birinchi shart: mijozlarda qanday resolver yo'li bor?

Shaxsiy nom faqat mijozning resolveri unga javob bera olganda ishlaydi. Bu shuni anglatadiki, ruxsat berilgan uzoq mijoz zonani ushlab turgan DNS serveriga yetib borishi kerak, yo tunnel orqali yoki tashkilot uzoq foydalanuvchilar uchun allaqachon ishlatayotgan resolver orqali. Tunnel — bu transport, katalog emas. U mijozga resolver tomon yo'l beradi va qaysi zonani so'rashni aytmaydi.

resolvectl query files.corp.example
dig @10.20.30.10 +short files.corp.example

Noutbuk VPN-ga ulangani uchun ochiq resolver shaxsiy zonani o'rganmaydi.

Qo'shimcha ham xuddi shunday e'tiborga loyiq. Tashkilot nazorat qiladigan domenning subdomenidan foydalaning, egalik va sertifikat rejasi aniq qolsin. .local dan saqlaning: multicast DNS spetsifikatsiyasi bu qo'shimchani link-local hal qilishga bog'laydi va marshrutlangan tunnel bu xatti-harakatni siz uchun qayta ishlab chiqmaydi.

Ikkinchi shart: xizmat qanday manbani oladi?

Kirish qoidalari manzillarga qarshi yoziladi, shuning uchun foydali savol — marshrutlash va tarjimadan keyin xizmat qaysi manzilni ko'radi. 10.20.30.40 manzilidagi misol xizmat uchun ofis mijozlari 10.20.30.0/24 dan, uzoq mijozlar esa 10.99.0.0/24 kabi alohida hovuzdan keladi.

Agar shlyuz uzoq hovuzni tarjima qilsa, xizmat tarjimonni ko'radi va 10.99.0.0/24 uchun yozilgan qoida mos kelmaydi.

Buni mijoz tomonidan emas, xizmat tomonidan o'qing. Xizmat hostidagi tinglovchi jurnali yoki paket ushlash haqiqatda kelgan manbani ko'rsatadi; mijozning o'z manzili yo'lda nima omon qolgani haqidagi taxmin xolos.

Uchinchi shart: nom xizmatga bog'langanmi yoki hostga?

Bitta mashinaning manziliga ishora qiluvchi nom har bir mijozni shu mashinaga bog'laydi. Yuklama balanslagichiga yoki barqaror xizmat manziliga ishora qiluvchi nom uning orqasidagi host almashtirilishidan omon qoladi. Ataylab tanlang, chunki buni keyin o'zgartirish har bir mijozning xatcho'plarini va har bir sertifikatning sub'ektini o'zgartirishni bildiradi.

Bitta ichki xizmat uchun to'g'ridan-to'g'ri yozuv odatda yaxshi va o'ylash osonroq.

Almashtiriladigan, qayta quriladigan yoki kengaytiriladigan har qanday narsa uchun barqaror old qism qo'shimcha konfiguratsiyaga arziydi. Sinov oddiy: agar foydalanuvchilarga aytmasdan backendni almashtira olsangiz, nom xizmatga bog'langan; almashtira olmasangiz, u hostga bog'langan.

Ikki qarorni alohida sinab ko'ring

Avval hal qiling, keyin ulanib oling. Kutilgan manzilni qaytaradigan hal qilish sinovi nom yo'lini isbotlaydi va kirish haqida hech narsa demaydi. Ulanish sinovi yo'l va qoidani birga isbotlaydi, shuning uchun uni faqat hal qilish muvaffaqiyatli bo'lgandan keyin ishga tushiring.

curl -sv --max-time 5 https://files.corp.example/health

Keyin bir marta taqiqlangan manbani sinab ko'ring va natijani yozib qo'ying.

Hujjatlaringizda ikki yozuvni alohida saqlang: nom va uning zonasi, qabul qilingan manbalar va qoida egasi. Biri o'zgarsa, ikkinchisi o'zgarishi shart emas.

Qaror odatda qayerda xato bo'ladi

Odatiy nosozlik — faqat ofis tarmog'ida hal bo'ladigan nom ostida e'lon qilingan xizmat va faqat ofis oralig'ini qabul qiladigan kirish qoidasi. Shunda uzoq foydalanuvchilar buzilgan xizmat haqida xabar beradi, aslida esa bu ikki alohida kamchilik. Ikkinchi odatiy nosozlik teskari: nom muammosini yo'qotish uchun qo'shilgan keng kirish qoidasi xizmatni hech kim nazarda tutmagan manbalardan ochiq qoldiradi. Ikkalasi ham konfiguratsiyadagi kamchilik va foydalanuvchi o'rindig'idan ular bir xil ko'rinadi.

Ikki xatoning hech biri bitta muvaffaqiyatli sinovdan ko'rinmaydi. Shuning uchun ikki qaror alohida yozuvlar va alohida sinovlarga loyiq, hatto ularni bir kishi qabul qilsa ham.

Xizmat ishga tushishidan oldin ikkalasini yozib qo'ying, chunki keyingi o'zgarishni o'ylash osonroq bo'ladi. Yozuv qisqa: nom va uning zonasi uchun bir qator, qabul qilingan manbalar va qoida egasi uchun bir qator.