Nebula-vuurtoring-DNS: wie mag watter rekords navra?
Die opsionele luisteraar antwoord uit gasheerdata wat die vuurtoring hou. A-rekords en TXT-navrae verskil in bereikbaarheid en gehoor, so bind dit doelbewus.
Nebula se vuurtoring-rol doen baie werk wat mense as vanselfsprekend aanvaar, en DNS antwoord is nie een daarvan nie. Om name te dien is 'n opsionele luisteraar wat gedeaktiveer begin, en daarom kan 'n gasheer wat binne die overlay goed oplos, glad niks hê om 'n kollega se skootrekenaar op te los nie. Voordat jy dit aanskakel, besluit wie dit moet bereik en watter rekordtipes jy bereid is om te antwoord, want daardie twee antwoorde verskil.
Die luisteraar is opsioneel en standaard af
Ontdekking en DNS is aparte dienste. Die vuurtoring help eweknieë om mekaar te vind, en dit kan bykomend naamnavrae oor gashere wat hy ken beantwoord, maar daardie tweede deel moet eksplisiet in die konfigurasie aangeskakel word.
Besluit watter koppelvlakke en netwerke die luisteraar moet bereik voordat jy enigiets aktiveer. 'n DNS-diens wat op 'n koppelvlak antwoord wat jy nie bedoel het nie, word 'n klein inligtingslek sonder enige loginskrywing wat iemand lees. Die besluit is baie goedkoper om nou te neem as om later te vernou, nadat iets op die verkeerde antwoord staatmaak. Twee reëls konfigurasie is makliker om te beredeneer as 'n insidentnota oor ses maande.
A-rekords en TXT deel nie 'n gehoor nie
Die twee rekordtipes word onder verskillende voorwaardes beantwoord, en om hulle as een diens te behandel is die fout wat hierdie artikel wil voorkom.
| Query | What it returns | Who can reach it |
|---|---|---|
| A record for a host name | That host Nebula IP | Any host that can reach the listener, overlay or not |
| TXT for a host IP | Certificate information | Only over the Nebula network |
Daardie asimmetrie is doelbewus en nie 'n versuim nie. 'n Naam-tot-adres-kaart is van min waarde vir 'n buestaander, terwyl sertifikaatmetadata die identiteite in jou overlay beskryf. Moenie 'n aanname van een ry na die ander dra net omdat dieselfde proses albei beantwoord nie.
Dit antwoord net oor die vuurtoring se eie gashere
Dit is nie 'n algemene resolver vir jou kantoor, jou wolk-VPC of die publieke internet nie. Die vuurtoring antwoord uit gasheerinligting wat aan hom gegee is, en daarom woon die funksie op vuurtoring-nodes eerder as op elke eweknie.
Wanneer 'n naam misluk wat niks met die overlay te doen het nie, vind die sone en resolver wat dit werklik besit. Om 'n overlay-resolver in 'n gasheer se algemene DNS-konfigurasie te meng, lewer mislukkings wat willekeurig lyk, want sommige name los op en ander word deur niks beantwoord nie.
Kyk ook na die bootstrap-eindpunt. 'n Gasheernaam wat gebruik word om die eerste vuurtoring te bereik, moet deur 'n gewone pad oplos voordat ontdekking daarop kan staatmaak, so 'n hoender-en-eier-probleem hier lyk presies soos 'n stukkende overlay. Dit rapporteer selfs op dieselfde manier: 'n eweknie wat nooit opkom nie en geen ooglopende rede hoekom nie. Kontroleer naamresolusie voordat jy sertifikate aanraak, want die volgorde vang mense wat met die moeiliker helfte begin het.
Kontroleer die bindadres en toets dan van buite
lighthouse.dns.host en lighthouse.dns.port bepaal waar die opsionele diens luister. Hersien daardie waardes saam met die gasheer se firewall en die netwerkbeleid, want 'n bindadres is 'n verklaring van voorneme en nie op sigself 'n sekuriteitsbeheer nie.
dig @10.42.0.1 -p 53 workstation.nebula A +short
dig @10.42.0.1 -p 53 10.42.0.7 TXT +shortNavra vanaf die netwerke wat jy bedoel om toe te laat, nie vanaf die vuurtoring self nie. 'n Suksesvolle opsoek op die vuurtoring bewys dat die proses loop en sê vir jou niks oor wat 'n buitenste gasheer kan vra nie, en dit is die vraag wat werklik saak maak.
Stel dit doelbewus bloot
Name en sertifikaatmetadata is nuttige operasionele inligting, en nuttigheid werk na beide kante. Besluit of die luisteraar slegs vir die overlay moet wees, watter rekordtipes toegelaat word en wie die konfigurasie hersien wanneer dit verander.
Skryf dit dan neer langs die vuurtoring-instellings. Die volgende persoon wat 'n resolusiemislukking ontfout, sal anders aanvaar dat die diens altyd daar was. Hy sal ook aanvaar dat dit altyd bereikbaar was van waar hy ook al toets. Een paragraaf wat die bindadres, die toegelate netwerke en die rekordtipes aanteken, spaar daardie persoon 'n middag en spaar jou 'n boodskap wat vra hoekom iets verander het.