Rekursie nie beskikbaar: 'n DNS-beleid, nie 'n gebreekte tonnel nie

Die interne naam los op, en dieselfde bediener antwoord 'n eksterne naam met 'n weiering oor rekursie. Daardie kombinasie is nie 'n teenspraak nie. Om sy eie sones te publiseer en om die hele internet op te los, is afsonderlike dienste wat 'n bediener kan lewer, en hy kan die eerste doen sonder die tweede. Behandel die weiering as 'n beleidsverklaring en kyk dan of die beleid by die ontwerp pas.

'n Weiering en 'n tydverstryking is verskillende antwoorde

Teken die naam, die navraagtipe, die bediener wat antwoord, die status en die rekords wat terugkom aan. 'n Rekursiewaarskuwing maak nie outomaties 'n gesaghebbende antwoord wat daarmee saamkom ongeldig nie. Skryf die status neer voordat jy dit interpreteer. 'n Status wat 'n uur later uit die geheue gerekonstrueer word, is 'n ander feit.

Die DNS-opskrif dra 'n versoek om rekursie en 'n aanduiding of die bediener dit bied, en die protokolspesifikasie hou daardie vlae apart van die antwoorddata. Daarom kan 'n antwoord nuttig wees en steeds 'n klag dra. 'n Tydverstryking, 'n negatiewe antwoord en 'n weiering is drie verskillende uitkomste. Elkeen wys na 'n ander laag, en net die weiering is die bediener wat jou oor beleid vertel.

Lees eers die statuskode en besluit dan of die waarskuwing vir hierdie navraag saak maak. 'n Gesaghebbende antwoord wat die sone noem, is bruikbaar selfs wanneer die rekursiewe bis geweier word. 'n Weiering sonder 'n antwoord is 'n beleidsuitkoms, nie 'n gebreekte pakkiepad nie.

Wat die oplosser as jou bron aangeteken het

Die kliënt kan uit 'n adrespoel kom buite die bediener se toegelate rekursiewe reekse, of 'n vertaling kan dit soos 'n poort laat lyk. Die kliënt se eie adapteradres is nie bewyse oor wat die oplosser ontvang het nie. Vra die bediener se administrateur na die waargenome bron eerder as om dit van jou kant van die pad af te lei. Die twee adresse kan by elke hop wat vertaal, verskil.

Vra dieselfde naam by die kliënt en by 'n gasheer wat die bediener reeds vertrou. Die verskil tussen die twee antwoorde is die brontoestand, en dit is nuttiger as enige van die antwoorde alleen.

dig +short host.corp.example
dig +short example.com

As die ontplooiing rekursie vir VPN-kliënte wil hê, magtig die administrateur die toepaslike bronreeks deur die bediener se eie kontroles. Om rekursie vir elke netwerk oop te maak sodat een toets slaag, is 'n veel groter verandering as die een wat getoets word. Skryf die gemagtigde reeks langs die reël, want die volgende keurder sal vra watter bronne die beleid moes bedien. 'n Bronreeks sonder 'n eienaar is hoe 'n tydelike toets permanent word.

Gesplete DNS is 'n ontwerp, nie 'n fout nie

Sommige ontplooiings stuur net werksdomeine na die private oplosser en alles anders na 'n ander goedgekeurde oplosser. Dit is 'n navraagroetering-ontwerp, en dit is nie bewyse dat die private bediener 'n losser beleid nodig het nie. Onder daardie ontwerp is 'n eksterne naam wat deur die private oplosser misluk die bedoelde uitkoms, nie 'n fout nie. Die weiering is die ontwerp wat werk, nie 'n simptoom om te onderdruk nie.

'n Openbare oplosser kan blaai herstel terwyl dit interne name breek of private navrae stuur waar hulle nie moet gaan nie. Skryf die bedoelde gedrag neer voordat jy enige oplosseradres verander.

Verifieer die beleid met twee navrae

Vra na die beoogde regstelling 'n toegelate private naam en 'n eksterne naam by die werklike kliënt. Wat terugkom, moet wees wat die beleid belowe, nie net 'n stiller diagnostiek nie. Teken die bediener wat antwoord by elke antwoord aan en vergelyk dan die paar met die beleid. Die vergelyking is die toets, en 'n enkele geslaagde opsoeking is nie.

resolvectl query host.corp.example
resolvectl query example.com

As die private naam werk en die openbare naam geweier word, doen die beleid wat dit sê. As die private naam ook misluk, is die probleem die sone, die roete of die bronmagtiging, en rekursie is 'n afleiding. Beide uitkomste is nuttig, en elkeen skakel die helfte van die oorblywende hipoteses uit.

Lees die weiering as bewyse

'n Weiering is 'n antwoord. Dit beteken die bediener het die navraag ontvang en geweier om die gevraagde werk te doen, wat verskil van 'n pakkie wat nooit arriveer het nie. Daardie onderskeid is die hele diagnose. Teken dit as 'n antwoord aan, nie as 'n verbindingsfout nie.

Daardie onderskeid sê vir jou waar om te kyk: die bediener se logs, sy toegangsbeleid en die bron wat hy aangeteken het. 'n Brandmuurverandering kan nie 'n beleidsweiering regmaak nie, en 'n beleidsverandering kan nie 'n ontbrekende roete regmaak nie. Hou die twee hipoteses apart totdat een van hulle bewyse het.

Skryf die uitkoms en die eienaar van die beleid in die kaartjie, sodat die volgende persoon by die besluit begin eerder as by die waarskuwing. Noem die bronreeks wat gemagtig is en die twee name wat jy getoets het. 'n Kaartjie met daardie drie feite kan weer geloop word; een wat sê "rekursie is gebreek", kan nie.