Nega SRV yozuvi faqat o'zi so'raydigan klientga yordam beradi

Zonangizga SRV yozuvi qo'shish hech qaysi VPN klientga uni qidirishni o'rgatmaydi. Klient yorliqni bilishi, so'rovni yuborishga qaror qilishi va qaytgan narsaga qarab harakat qilishi kerak, DNS esa birinchi ikkitasini ta'minlay olmaydi. Shuning uchun muvaffaqiyatsiz SRV rejalarining aksariyati DNS libosidagi klient muammolaridir. Avval klientning aniqlash xatti-harakatini o'qing, keyin faqat u haqiqatan so'raydigan yorliqni e'lon qiling.

Hech kim so'ramaydigan yozuv hech kimga yordam bera olmaydi

SRV xizmatning joylashuvini e'lon qiladi; u xizmatni e'lon qilmaydi. Hech narsa yozuvni klientga itarib yubormaydi va hech qaysi hal qiluvchi hech qachon so'ralmagan nomni o'zi taklif qilmaydi. Qidiruv ilova uni bajarishga qaror qilganda boshlanadi, shuning uchun yorliq mahsulot hujjatlaridan yoki tarmoqdagi dasturiy ta'minotni kuzatishdan kelishi kerak. Klientda aniqlash bosqichi bo'lmagan joyda yozuv zonani o'zgartiradi, boshqa hech narsani emas.

Shuning uchun tarmoqdagi bir mahsulot ishlay boshlashi mumkin, boshqasiga esa xuddi shu o'zgarish ta'sir qilmaydi. O'zgaruvchi - bu dasturiy ta'minot, va DNS server aytilgan narsani aniq bajaradi. Tahrirdan keyin zonani yana o'qing, chunki xato terilgan yorliq hammasi bir xil ko'rinadigan yozuvlar orasida oson yashirinadi.

Yozishdan oldin maydonlarni o'qing

Yozuv to'rtta qiymatni olib yuradi va har biri boshqa savolga javob beradi: ustuvorlik klient sinab ko'radigan maqsadlarni tartibga soladi, vazn teng ustuvorlikdagi maqsadlar orasida yukni taqsimlaydi, port transport portini nomlaydi, maqsad esa xostni nomlaydi. Spetsifikatsiya . maqsadiga xizmat ataylab mavjud emas degan ma'no berishga ham ruxsat beradi, bu buzilgan javob emas, foydali javob.

Bu maydonlarning hech biri hisob ma'lumotlari, sertifikat siyosati yoki ilova versiyasini olib yurmaydi, vaznni e'tiborsiz qoldiradigan klient ham ulanadi, faqat mo'ljallangan muvozanatsiz. Maqsadning o'z manzil yozuvlari bo'lishi kerak va u taxallus emas, kanonik nom bo'lishi lozim. Tinglovchisi yo'q xostga ishora qiluvchi yozuvni e'lon qilish DNS nosozligi kabi o'qiladigan ulanish xatosini keltirib chiqaradi, va bu chalg'itishning eng qimmat turi. Butun zanjirni e'lon qiling yoki undan hech narsani emas.

Klient haqiqatan yuboradigan yorliqni toping

Yorliqni mahsulot nomi haqidagi taxmindan emas, dalillardan kelib chiqib belgilang. Yo hujjatlar xizmat nomini ko'rsatadi, yoki yozib olish klient ishga tushganda chiqadigan so'rovni ko'rsatadi. Ikkala yo'l ham bir joyda tugaydi: hal qiluvchiga qarshi sinash uchun aniq nom va tur.

dig +short SRV _vpn._tcp.gw.example
dig +short A edge2.gw.example
tcpdump -ni any udp port 53

Javobni siz e'lon qilgan yozuv bilan belgi-ba-belgi solishtiring, chunki pastki chiziqlar va oxirgi nuqta nomning qismidir. Haqiqatan yuborilgan so'rovga bo'sh javob zonaga ishora qiladi, umuman so'rov bo'lmasligi esa klientga ishora qiladi, va bu topilmalar sizni turli jamoalarga yuboradi. Haqiqiy javob quyidagi satrga o'xshaydi, unda ustuvorlik 20 har qanday pastroq ustuvorlikdagi yozuvga yutqazadi va klient ko'rsatilgan maqsadda 8443 portini teradi.

_vpn._tcp.gw.example. 600 IN SRV 20 10 8443 edge2.gw.example.

Maqsad ham mavjud bo'lishi kerak

Hal qilinadigan maqsad javob beradigan xizmat bilan bir xil emas. Maqsadning manzil yozuvlarini tekshiring, so'ng e'lon qilingan port va protokolda nimadir tinglayotganini tekshiring. Faqat UDP tinglovchisiga ishora qiluvchi TCP yozuvi hech qanday zona tahriri tuzatolmaydigan nomuvofiqlikdir. Maqsad o'zgaruvchan bo'lganda TTL ni qisqa tuting, nom harakatdan to'xtaganda uni uzaytiring.

Aniqlashni haqiqatan amalga oshiradigan klientlar yozuvni qanchalik hurmat qilishida farq qiladi. Ba'zilari faqat ustuvorlikdan foydalanadi, ba'zilari vaznni maslahat deb biladi, ozchiligi portni e'tiborsiz qoldirib, standart qiymatni taxmin qiladi. Bu farqlar yorliq yonidagi qaydlaringizga tegishli, chunki ular aks holda hal qiluvchi nosozligidek ko'rinadigan xatti-harakatni izohlaydi.

Aniqlash autentifikatsiya emas

SRV javobi qayerga ulanish kerakligini aytadi va yetib borgandan keyin kimga ishonish haqida hech narsa demaydi. Klientning sertifikat tekshiruvi va server identifikatsiyasi tekshiruvlarini avvalgidek qoldiring, chunki boshqa birov qalbakilashtira oladigan yozuv ishonch qaroriga aylanmasligi kerak. DNS javoblari keshlanadi va zonani boshqaradigan har kim tahrir qila oladi, bu ularni siyosatni kodlash uchun yomon joyga aylantiradi.

Aniqlashni qo'llamaydigan klient uchun u qabul qiladigan profil yoki shlyuz URL manzilini tarqating va qaysi mahsulot qaysi usuldan foydalanishini yozib qo'ying. Bu qayd keyingi administratorning yozuv qo'shib, u hamma joyda ishlaydi deb kutishining oldini oladi. SRV spetsifikatsiyasi maqsadlar orasidagi tanlovni tavsiflaydi, va uni avtorizatsiya mexanizmi sifatida o'qish foydali yozuv xavfsizlik taxminiga aylanish yo'lidir. Ataylab e'lon qiling, yorliqni hujjatlaringizda nomlang va klientni bularning birortasi muhimmi yoki yo'qmi deb hal qiladigan komponent deb biling.