VPN üzərindən NXDOMAIN cavabı tunelin sıradan çıxması demək deyil

Bir uğursuz sorğunu tunelin çökdüyünə dair sübut kimi oxumaq cazibədardır, xüsusən də ad on dəqiqə əvvəl işləyirdisə. Cavab bunun əksini deyir. NXDOMAIN tamamlanmış DNS əməliyyatıdır və orada həlledici soruşulan adın mövcud olmadığını bildirir; pozulmuş tunel adətən səssizlik, timeout və ya yanlış serverə qarşı həll cəhdi yaradır. Arqumentin wireshark-suz versiyası bir sorğu, bir cavabdeh və bir cavab kodudur və bu üçlüyü hər hansı konfiqurasiya dəyişikliyindən əvvəl qeyd etməyə dəyər.

Cavabın həqiqətdə nəyi təsdiqlədiyi

DNS müştərilərin tez-tez bir uğursuzluğa birləşdirdiyi nəticələri ayırır. Mövcud olmayan ad NXDOMAIN kodu ilə mənfi cavab verir, mövcud olan lakin tələb olunan növdə qeydi olmayan ad isə boş cavab bölməsi olan uğurlu cavab verir. Hər ikisi tətbiq üçün yararsız görünür və yalnız biri adın səhv olduğunu bildirir.

Bu fərq təmirin hara aid olduğunu müəyyən edir. A qeydi olan hostda çatışmayan AAAA qeydi hostun çatışmaması demək deyil və bunun arxasınca sertifikatı yenidən vermək və ya tuneli yenidən qurmaq mövcud olan yeganə ipucunu israf edir. Bu ayrım davamın formasını da müəyyən edir: adlandırma problemi zonada düzəldilir, növ problemi isə düzgün qeydi soruşmaqla və ya ünvan ailəsinin sadəcə mövcud olmadığını qəbul etməklə düzəldilir.

Mif: itkin şəxsi ad tunelin uğursuz olduğunu bildirir

Mif yaşayır, çünki iki hadisə çox vaxt birlikdə gəlir. Müştəri VPN-ə qoşulur, əməliyyat sistemi artıq etibar etdiyi həllediciyi saxlayır və indi ehtiyac duyduğu daxili ad heç vaxt şəxsi zonanı eşitməmiş serverdən soruşulur. Həmin server dürüst və mənfi cavab verir. Tunel paketi daşıyır; cavab sadəcə cavabdehin xidmət göstərmədiyi ad məkanına aiddir.

Split-horizon quruluşları bunu adi hala gətirir: eyni zona adı fərqli məzmunla həm açıq, həm daxili mövcuddur və şəxsi qeydləri yalnız daxili həlledici bilir. Buna görə səlahiyyətli görünən mənfi cavab almaq hansı həlledicinin cavab verdiyinə dair sübutdur, interfeysin vəziyyətinə dair deyil.

Nəticəni iki konfiqurasiya detayı həll edir. Tunel daxili həllediciyi itələməli və ya seçməlidir və müştəri bu seçimi axtarılan ada tətbiq etməlidir. Yazdığınız qeyddən bir qədər fərqli suffiks adlandıran domen üzrə qayda sorğunu açıq yola göndərəcək və cavab düzgün, lakin faydasız olacaq.

Doğru adla doğru həllediciyə müraciət edin

Hökmü qeyd etməzdən əvvəl cavabdehi qeyd edin. Hansı serverin cavab verdiyini göstərməyən sorğu siyasət problemini ad məkanı problemindən ayıra bilməz və ikisinin düzəlişi bir-biri ilə əlaqəsizdir.

resolvectl query vpn.internal.example
resolvectl status | grep -A3 'DNS Servers'
dig +search app.intranet.example A
dig @10.8.0.1 app.intranet.example A

İlk iki sətir yerli həlledicinin nə qərara gəldiyini və kimdən soruşacağını göstərir. +search sorğusu tətbiqin axtarış suffiksi əlavə etdikdə nə etdiyini təkrar edir və bu, çox vaxt diaqnostik alətə yazılan sorğudan deyil, həqiqi sorğudur. Sonuncu sətir müştəri siyasətini yan keçərək daxili serverdən birbaşa soruşur; əgər bu uğur qazanırsa və adi sorğu uğursuz olursa, zona qaydasındadır, sorğuların marşrutlaşdırılması isə yox.

Mənfi keşləmə düzəlişdən sonrakı gecikməni izah edir

Mənfi cavablar dizayn olaraq keşlənir və RFC 2308 mənfi keş ömrünün zonanın səlahiyyət qeydindən necə alındığını təsvir edir. Buna görə qeydi və ya həlledici qaydasını düzəltmək müştəridə dərhal dəyişikliyə zəmanət vermir, keşlənmiş cavabı qaytaran sorğunu təkrarlamaq isə yeni heç nə sübut etmir. Yalnız fərqli cavabdeh, fərqli ad və ya təmizlənmiş keş təzə sübut yaradır.

Yerli keşi təmizləyin, sonra eyni sorğunu eyni cavabdehə qarşı təkrarlayın. Yerli həlledici xidmətindən istifadə edən sistemlərdə bu bir əmrdir; digərlərində bu xidmətin yenidən başladılması və ya platforma alətidir və konkret alət sonradan eyni testi təkrarlamaqdan daha az əhəmiyyətlidir.

Adı yoldan ayırın

Ad gözlənilən şəxsi ünvana həll olunduqdan sonra DNS mövzu kimi bitir və tətbiq yolu növbəti sual olur. Sorğulara cavab verən, lakin bağlantını rədd edən hostun başqa problemi var və düzgün cavabdan sonra həllediciləri düzəltməyə davam etmək insidentin üç əlaqəsiz dəyişiklik qazanmasına səbəb olur. İkisinin uyğun olduğunu fərz etməzdən əvvəl həll olunmuş ünvanı xidmətin həqiqətən dinlədiyi ünvanla müqayisə edin.

Transepti saxlayın: sorğu, cavabdeh, kod və həll olunmuş ünvan. Bu qeyd sonrakı hesabatı yoxlanıla bilən edən şeydir və diaqnozla yavaş görünən tunel haqqında hekayə arasındakı fərqdir.