Tunel is aan, so waarom misluk die privaat naam steeds?

Alles aan die verbinding lyk reg: die tonnel is aan en die konsole wys die privaat eindpunt, maar elke versoek misluk op naamresolusie. Die natuurlike reaksie is om die tonnel te blameer, wat gewoonlik onskuldig blyk te wees. Die navraag word gestuur na 'n bediener wat niks van die privaat sone weet nie. Geen roeteverandering sal daardie antwoord verander nie, want die probleem is wie gevra is.

Watter resolveerder het die navraag bereik?

Vind die resolveerder wat aan elke skakel gekoppel is voordat jy enigsins na die tonnel kyk. Linux wys per-skakel bedieners deur die resolveerder-statusopdrag, en macOS wys omvanggebonde resolveerders in sy DNS-konfigurasie-uitskrif. As die antwoord steeds van die huisroeteerder kom, is die tonnelskakel nooit geraadpleeg nie.

resolvectl status
scutil --dns | head -40
dig +short internal.example.com

Twee stadiums word hier verwar: 'n bediener wat 'n resolveerder-adres stoot, en 'n kliënt wat dit op die aktiewe skakel installeer. 'n Profiel kan die opsie bevat, en 'n log kan wys dat dit aankom, terwyl die bedryfstelsel die ou bediener bly gebruik. Vergelyk die log met wat die skakel rapporteer, en vertrou die skakel.

Gebruik 'n adres waarop die wolkenetwerk werklik antwoord

Wolkenetwerke antwoord gewoonlik privaat name deur 'n gereserveerde adres twee van die basis van die reeks af, so 'n netwerk wat by 10.0.0.0 begin, antwoord op 10.0.0.2. Sommige verskaffers publiseer ook 'n link-lokale resolveerder wat werk sonder om die reeks te ken, wat help wanneer die netwerk deur iemand anders gebou is. Vra die kandidaat-adres direk voordat jy dit aan iemand stoot. 'n Adres wat nie 'n resolveerder is nie, lyk presies soos 'n firewall-drop, want die navraag kry eenvoudig nooit 'n antwoord nie.

As die direkte navraag van binne die netwerk antwoord maar nie oor die tonnel nie, is die resolveerder reg en die pad tussen die twee punte nie. Daardie resultaat verskuif die ondersoek na roetes, deurstuur en toegangsreëls eerder as na die kliëntprofiel.

'n Tonnel dra nie die naamruimte nie

Pakette steek oor; name nie. Elke kant moet vertel word watter naamruimte aan die ander behoort, en dit is 'n aparte objek wat deur die eienaar van die sone besit word. Die gewone vorm is 'n deurstuur vir een naamruimte, gerig op 'n resolveerder wat oor die tonnel bereikbaar is.

In die praktyk het elke rigting sy eie reël nodig, want die kant wat die sone besit, is die kant wat die navraag moet aanstuur. Beide rigtings vereis dat die navraagbron gerouteer en toegelaat word, en die antwoordende kant moet antwoorde deur die tonnel terugstuur eerder as na die internet. Hou die deurstuur smal, sodat net die privaat naamruimte van die skakel afhang. Om elke navraag daaroor te stuur, verander 'n klein afhanklikheid in 'n totale onderbreking sodra die tonnel val.

Stap die grense in volgorde deur

Toets die resolveerder wat op die aktiewe skakel geïnstalleer is, dan 'n direkte navraag na daardie resolveerder, dan dieselfde navraag van die oorkant, en uiteindelik die toepassing wat dieselfde naam gebruik. Elke stap isoleer een grens, so 'n mislukking sê jou waar om te kyk eerder as om die ondersoek te herbegin. 'n Antwoord wat werk terwyl die toepassing misluk, dui op sertifikaatvertroue of 'n API-beleid eerder as op DNS. Daardie foute is werklik, en geen resolveerder-verandering sal hulle herstel nie.

Skryf neer watter stap misluk het. Daardie enkele reël is wat die volgende persoon nodig het, en dit neem tien sekondes om dit te noteer.

Hou die ketting waar die volgende persoon dit kan vind

Teken die gestoorde resolveerder, die deurstuur-reël, die toegelate navraagbron en die antwoordende eindpunt op een plek aan. Wanneer die privaat naam weer misluk, wys die rekord of die tonnel geskuif het, die resolveerder-adres verander het, of 'n reël vernou is. Sonder dit begin elke voorval by nul en eindig met dieselfde drie raaiskote.

Hou die rekord kort genoeg om akkuraat te bly: vier reëls, 'n datum en die naam van elkeen wat elke deel besit. 'n Verouderde rekord is erger as geen, want dit lyk gesaghebbend terwyl dit verkeerd is.