Định tuyến VPN theo tên miền và tuyến IP: cái nào phù hợp?

Tuyến IP khớp với một tiền tố địa chỉ, và nhân hệ điều hành áp dụng nó mà không hỏi thêm. Quy tắc VPN dựa trên tên miền khớp với một tên, nghĩa là thứ gì đó trong ngăn xếp phải quyết định tên đó hiện đang chỉ những địa chỉ nào và giữ quyết định đó luôn cập nhật. Đây là những cơ chế khác nhau với các kiểu hỏng khác nhau, và các nhà cung cấp dùng cùng một từ cho cả hai. So sánh chúng trong danh sách tính năng là bỏ lỡ điểm chính; hãy so sánh theo điều gì xảy ra khi câu trả lời thay đổi.

Cách phân chia hữu ích là giữa quy tắc có phân giải và quy tắc không phân giải.

Mỗi quy tắc thực sự khớp với cái gì

Quy tắc tiền tố khớp với địa chỉ đích trong bảng định tuyến. Không có gì được phân giải, không có gì hết hạn, và sự khớp là chính xác cho mọi gói tin. Quy tắc tên miền khớp với yêu cầu tên của ứng dụng, mà RFC 1034 định nghĩa là một cây nhãn chứ không phải một địa chỉ. Một số sản phẩm phân giải tên một lần rồi cài các địa chỉ thu được làm tuyến, biến quy tắc thành quy tắc IP có gắn bộ hẹn giờ làm mới.

Hãy biết mình đang dùng loại nào trong hai loại trước khi gỡ lỗi, vì lỗi trông hoàn toàn khác nhau trong mỗi trường hợp.

Quy tắc tên miền nằm ở đâu trong ngăn xếp

Nếu sản phẩm triển khai quy tắc tên miền qua proxy cục bộ, lưu lượng phải đến được proxy đó, và những ứng dụng bỏ qua proxy hệ thống sẽ vòng qua quy tắc hoàn toàn. Nếu triển khai bằng cách phân giải tên và thêm tuyến, địa chỉ chỉ mới bằng lần làm mới gần nhất. Nếu nó móc vào trình phân giải, hành vi DNS trở thành một phần của chính sách định tuyến, và một trình phân giải dự phòng có thể lặng lẽ vô hiệu hóa nó.

Hãy đọc mô hình của nhà cung cấp chứ không phải nhãn cài đặt. Hai máy khách có ô tên Split Tunnel có thể đang làm ba việc khác nhau.

So sánh cái gì hỏng

Ba thứ hỏng theo cách khác nhau. Thay đổi địa chỉ: tên máy chủ CDN có thể phân giải sang một tập địa chỉ khác trong vài phút, nên danh sách sao chép nhanh cũ đi. Phạm vi tên miền con: quy tắc cho example.com có thể bao phủ hoặc không bao phủ api.example.com, và tài liệu thường nói rõ là trường hợp nào. Lỗi phân giải: khi trình phân giải hỏng, máy khách có phân giải có thể chuyển sang đưa lưu lượng vào tunnel hoặc gửi trực tiếp.

Chỉ cái thứ hai là câu hỏi cấu hình. Hai cái còn lại là câu hỏi thiết kế về việc sản phẩm sẵn sàng đoán đến đâu.

Khi nào tiền tố là câu trả lời tốt hơn

Với một mạng con riêng ổn định, tiền tố tường minh rõ ràng hơn, nhanh hơn và dễ kiểm tra hơn. Nó cũng chịu được sự cố trình phân giải, vì không cần phân giải gì cả. Hãy dùng quy tắc tên miền khi dịch vụ được lưu trữ, khi địa chỉ xoay vòng, hoặc khi bạn thực sự không thể liệt kê tập đích. Đừng dùng nó chỉ vì tên máy chủ là thứ bạn tình cờ biết.

Danh sách tĩnh đoán mò là tệ nhất trong cả hai: nó trông như được duy trì, và nó lặng lẽ bỏ sót lưu lượng vào ngày nhà cung cấp thêm một máy chủ.

Xác minh bằng một yêu cầu mới

Thử với một yêu cầu nguội sau khi kết nối lại bình thường, vì một trang đã lưu trong bộ nhớ đệm có thể không bao giờ chạm tới quy tắc. Phân giải tên, rồi kiểm tra xem kết nối thực sự đã đi đâu. dig +short app.example.com cho tập địa chỉ hiện tại, và danh sách kết nối của máy khách cho bạn biết giao diện nào đã mang luồng.

Lặp lại sau khoảng làm mới mà sản phẩm ghi trong tài liệu. Nếu tập địa chỉ trôi đi mà quy tắc không theo, bạn đã tìm ra hành vi thực.

Cũng hãy tách riêng chính sách trình phân giải. Quy tắc tên miền cần dữ liệu tên chính xác, nhưng tự nó không quyết định trình phân giải nào trả lời truy vấn.