Nebula mayakı DNS: hansı qeydləri kim sorğulaya bilər?
İstəyə bağlı dinləyici mayakın saxladığı host məlumatlarından cavab verir. A qeydləri və TXT sorğuları əlçatanlıq və auditoriya baxımından fərqlənir, ona görə onu qəsdən bağlayın.
Nebula-nın mayak rolu insanların avtomatik saydığı çoxlu iş görür və DNS-ə cavab vermək onlardan biri deyil. Adların xidməti ilk vəziyyətdə söndürülmüş istəyə bağlı dinləyicidir, buna görə overlay daxilində adları yaxşı həll edən bir host kolleqanın noutbukunu heç həll edə bilməyə bilər. Onu işə salmazdan əvvəl kimin ona çatacağını və hansı qeyd növlərinə cavab verməyə hazır olduğunuzu qərarlaşdırın, çünki bu iki cavab fərqlidir.
Dinləyici istəyə bağlıdır və standart olaraq söndürülüb
Kəşfiyyat və DNS ayrı xidmətlərdir. Mayak peer-lərin bir-birini tapmasına kömək edir və əlavə olaraq bildiyi hostlar haqqında ad sorğularına cavab verə bilər, lakin bu ikinci hissə konfiqurasiyada açıq şəkildə işə salınmalıdır.
Nəyisə aktivləşdirməzdən əvvəl dinləyiciyə çatmalı olan interfeysləri və şəbəkələri qərarlaşdırın. Nəzərdə tutmadığınız interfeysdə cavab verən DNS xidməti heç kimin oxumadığı jurnal qeydi olmayan kiçik bir məlumat sızmasına çevrilir. Qərarı indi vermək, sonradan səhv cavabdan asılı bir şey yarandıqdan sonra daraltmaqdan qat-qat ucuzdur. İki sətir konfiqurasiya altı ay sonrakı insident qeydindən daha asan əsaslandırılır.
A qeydləri və TXT eyni auditoriyanı paylaşmır
Bu iki qeyd növünə fərqli şərtlərdə cavab verilir və onlara tək xidmət kimi yanaşmaq bu məqalənin qarşısını almaq üçün yazıldığı səhvdir.
| Query | What it returns | Who can reach it |
|---|---|---|
| A record for a host name | That host Nebula IP | Any host that can reach the listener, overlay or not |
| TXT for a host IP | Certificate information | Only over the Nebula network |
Bu asimmetriya səhv deyil, qəsdəndir. Adın ünvana uyğunlaşdırılması kənar şəxs üçün az dəyərlidir, sertifikat metadatası isə overlay-inizdəki kimlikləri təsvir edir. Yalnız eyni proses hər ikisinə cavab verdiyi üçün bir sətirdən digərinə fərziyyə daşımayın.
Yalnız mayakın öz hostları haqqında cavab verir
Bu, ofisiniz, bulud VPC-niz və ya açıq internet üçün ümumi resolver deyil. Mayak ona verilmiş host məlumatlarından cavab verir, buna görə də funksiya hər peer-də deyil, mayak qovşaqlarında yaşayır.
Overlay ilə heç bir əlaqəsi olmayan bir ad uğursuz olursa, onu həqiqətən idarə edən zonanı və resolveri tapın. Overlay resolverini hostun ümumi DNS konfiqurasiyasına qarışdırmaq təsadüfi görünən nasazlıqlar yaradır, çünki bəzi adlar həll olunur, digərlərinə isə heç nə cavab vermir.
Həmçinin bootstrap giriş nöqtəsini izləyin. İlk mayaka çatmaq üçün istifadə olunan host adı kəşfiyyat ondan asılı olmazdan əvvəl adi yolla həll olunmalıdır, buna görə buradakı toyuq-yumurta problemi tam olaraq sınıq overlay kimi görünür. Hətta eyni şəkildə hesabat verir: heç vaxt qalxmayan peer və heç bir aşkar səbəb. Sertifikatlara toxunmazdan əvvəl ad həllini yoxlayın, çünki bu sıra daha çətin yarıdan başlayanları tutur.
Bağlama ünvanını yoxlayın, sonra kənardan sınaqdan keçirin
lighthouse.dns.host və lighthouse.dns.port istəyə bağlı xidmətin harada dinləyəcəyini müəyyən edir. Bu dəyərləri host firewall və şəbəkə siyasəti ilə birlikdə nəzərdən keçirin, çünki bağlama ünvanı niyyət bəyanatıdır və tək başına təhlükəsizlik nəzarəti deyil.
dig @10.42.0.1 -p 53 workstation.nebula A +short
dig @10.42.0.1 -p 53 10.42.0.7 TXT +shortİcazə vermək istədiyiniz şəbəkələrdən sorğu göndərin, mayakın özündən deyil. Mayakda uğurlu axtarış prosesin işlədiyini sübut edir və kənar hostun nə soruşa biləcəyi barədə sizə heç nə demir, halbuki əsl əhəmiyyətli sual budur.
Onu qəsdən açıq saxlayın
Adlar və sertifikat metadatası faydalı əməliyyat məlumatıdır və faydalılıq hər iki tərəfə kəsilir. Dinləyicinin yalnız overlay üçün olub-olmayacağını, hansı qeyd növlərinə icazə veriləcəyini və konfiqurasiya dəyişdikdə kimin nəzərdən keçirəcəyini qərarlaşdırın.
Sonra bunu mayak parametrlərinin yanında yazın. Ad həlli nasazlığını ayıklayan növbəti şəxs əks halda xidmətin həmişə orada olduğunu güman edəcək. O, həmçinin xidmətin sınaq apardığı hər hansı yerdən həmişə əlçatan olduğunu güman edəcək. Bağlama ünvanını, icazə verilən şəbəkələri və qeyd növlərini qeyd edən bir paraqraf o adama bir günorta qazandırır və sizə nəyinsə niyə dəyişdiyini soruşan mesajdan xilas edir.