Danh sách cho phép điểm cuối VPN: bản làm mới DNS bạn đã quên

Gõ vpn.example.com vào ngoại lệ tường lửa có cảm giác như đăng ký DNS. Điều thường xảy ra là một bản dịch lúc tải, sau đó quy tắc giữ địa chỉ và không gì làm mới chúng. Hai thành phần giờ chia sẻ công việc: trình phân giải trả lời và tường lửa lưu trữ. Hầu hết sự cố điểm cuối bắt đầu ở nơi việc bàn giao đó chưa bao giờ được thiết kế.

Tên máy chủ trong một quy tắc không phải đăng ký trực tiếp

Một số công cụ phân giải tên khi cấu hình tải; những công cụ khác giữ tên máy chủ và phân giải lại theo lịch riêng; số khác chỉ chấp nhận địa chỉ. Cấu hình hiển thị hiếm khi nói rõ trường hợp nào. Ví dụ trong tài liệu thường giả định trường hợp tải, đó là lý do sự khác biệt khiến người ta bất ngờ khi di chuyển. Đọc hành vi của việc triển khai trước khi cho rằng thay đổi địa chỉ sẽ được chú ý, bởi vì một danh sách cho phép cũ trông giống hệt một danh sách đang hoạt động cho đến khi điểm cuối di chuyển.

Một quy tắc nêu đúng máy chủ vẫn có thể cho phép địa chỉ sai. Khoảng trống đó là huyền thoại, không phải lỗi chính tả.

TTL bộ nhớ đệm không phải bộ đếm thời gian của tường lửa

Bản ghi DNS có thời gian sống, và trình phân giải lưu đệm câu trả lời trong khoảng đó. Đặc tả DNS định nghĩa hành vi bộ nhớ đệm đó, nhưng nó quản lý dữ liệu DNS, không phải kho địa chỉ riêng của tường lửa. TTL ngắn không tạo ra công việc làm mới ở nơi không có. Bộ nhớ đệm cũng xảy ra ở nhiều hơn một lớp, nên câu trả lời mà terminal thấy có thể không phải câu tường lửa đã thấy.

Hỏi sản phẩm thực ba câu: khi nào nó phân giải, nó lưu kết quả ở đâu và điều gì kích hoạt cập nhật. Nếu câu trả lời chỉ là lúc khởi động, một phiên dài có thể sống lâu hơn địa chỉ mà nó được chấp nhận.

dig +short vpn.example.com
resolvectl query vpn.example.com

Thiết kế làm mới và thất bại như một chính sách duy nhất

Ngoại lệ được duy trì cần câu trả lời rõ ràng: điều gì kích hoạt làm mới trước khi máy khách chọn địa chỉ mới, tập hợp được phép thay đổi thế nào mà không mở cửa sổ tạm thời rộng, và khi nào các mục lỗi thời bị xóa. Viết những câu trả lời đó bên cạnh quy tắc.

Chọn hành vi khi thất bại một cách có chủ ý. Giữ địa chỉ cũ có thể bảo toàn phiên và để lại giấy phép cũ; xóa tập hợp có thể cản trở phục hồi. Không cái nào nên là kết quả tình cờ của một lần tra cứu thất bại. Viết hành vi đã chọn vào runbook để người vận hành tiếp theo không ứng biến dưới áp lực.

Giữ cả DNS khởi động hẹp. Ngoại lệ vô điều kiện cho trình phân giải công cộng là đường DNS trực tiếp cho mọi thứ nó khớp, không chỉ cho tên của điểm cuối.

Chứng minh thay đổi điểm cuối, không phải kết nối đầu tiên

Dùng trình quản lý được máy khách hỗ trợ nếu nó đã điều phối phân giải và chặn. Trên máy chủ PF do trang quản lý, giữ quyền sở hữu và kế hoạch phục hồi của trang thay vì sao chép cú pháp bảng tên máy chủ từ nền tảng khác có hành vi vòng đời khác.

Với một thử nghiệm đã được phê duyệt và vô hại, so sánh địa chỉ máy khách chọn với tập hợp được phép đang hoạt động trước và sau một thay đổi có kiểm soát. Bao gồm tra cứu thất bại, xóa một mục không còn hợp lệ và, nếu được hỗ trợ, một họ địa chỉ khác. Đường hầm dự định phải phục hồi trong khi lưu lượng trực tiếp không liên quan vẫn dưới chính sách. Kết nối đầu tiên thành công chỉ chứng minh rằng bản dịch ban đầu tình cờ đúng.