Şəxsi DNS VPC daxilində işləyir, lakin VPN üzərindən deyil
EC2 daxilində həll olunan, lakin VPN üzərindən həll olunmayan şəxsi ad — bu, resolver yolunun problemidir. Zona qeydini redaktə etməzdən əvvəl nasazlığın formasını oxuyun.
Şəxsi ad EC2 instansiyasından həll olunur, lakin VPN ilə qoşulmuş noutbukdan həll olunmur və zona konsolda düzgün görünür. İlk təkan qeydi redaktə etməkdir, bu isə demək olar ki, heç vaxt problem deyil. Qeyd kiməsə cavab verir; sadəcə noutbukunuza cavab vermir. İki çağıran arasındakı fərq hansı resolver-dən soruşduqları və o resolver-in VPC-nin DNS görünüşünə dəstəklənən yolu olub-olmadığıdır.
Qeydin mövcud olduğunu sübut etməklə başlayıram, qalan vaxtı sorğu yoluna sərf edirəm. Bunlar ayrı sistemlərdir və müxtəlif formalarda uğursuz olur.
Bir şeyi dəyişməzdən əvvəl nasazlığın formasını oxuyun
Üç nəticə üç fərqli şey deməkdir və bir sorğu onları ayırır: müştərinin həqiqətən istifadə etdiyi resolver-ə qarşı ad üçün dig işə salın.
| What you see | What it usually means | First thing to check |
|---|---|---|
| SERVFAIL, or a timeout after several seconds | No path to the resolver, or the resolver cannot reach AWS | Route to the endpoint and the security policy on port 53 |
| NXDOMAIN from a resolver that did answer | The resolver replied, but the zone is not in its view | Zone association or the forwarding rule for that namespace |
| A public address for an internal name | Split DNS is not in effect for this client | Which resolver the client is configured to use |
Taym-aut şəbəkə haqqında ifadədir. NXDOMAIN DNS görünüşü haqqında ifadədir. İctimai cavab siyasət haqqında ifadədir. Taym-aut zamanı zona qeydini redaktə etmək işdəki yeganə faydalı sübutu atır.
Niyə VPC-dəki üstəgəl iki ünvan uzaq resolver deyil
CIDR üstəgəl iki ünvanı VPC daxilindəki resurslar üçün yerli xidmətdir. AWS sənədləşdirir ki, yerli şəbəkələrdən və ya digər VPC-nin DNS serverlərindən sorğuların birbaşa həmin ünvana yönləndirilməsi dəstəklənmir və qeyri-sabit nəticələr verə bilər.
Bu, eksperimentin heç vaxt işləyən kimi görünməyəcəyi demək deyil. Bu, davranışın dəstək skriptinə qoyula bilən müqavilə olmadığı deməkdir. Dəstəklənən istiqamət daxil olan Resolver endpoint-dir: VPC-nizin daxilində, nəzarət etdiyiniz şəbəkədən əlçatan, AWS xaricindən gələn sorğuları qəbul edən ünvan cütü.
Yolu təmiz uğursuz olduğu ardıcıllıqla qurun
Üç atlama olmalıdır və hər birinin öz uğursuzluq yolu var.
VPN client -> approved DNS forwarder
forwarder -> forwarding rule for internal.example
forwarding rule -> Resolver inbound endpoint addressesYönləndiriciyə VPN vasitəsilə endpoint ünvanlarına marşrut lazımdır və geri dönüş yolu da işləməlidir. 53 portunda adi DNS üçün endpoint UDP və TCP üzərindən cavab verir, buna görə hər iki protokola icazə verilməlidir və hər ikisi yolda hər hansı vəziyyət yoxlamasından keçməlidir.
Sonra DNS görünüşünü ayrıca yoxlayın. Şəxsi hostinq edilən zona yalnız əlaqələndirildiyi VPC-lərə və ya qəsdən edilmiş paylaşma razılaşmasına görünür. Əlçatan endpoint təkbaşına hər şəxsi zonanı öz həll kontekstində həll oluna bilən etmir.
Çıxan endpoint əks istiqamətə xidmət edir və noutbukunuzdan gələn sorğuya cavab verməyəcək.
Hər iki tərəfdən yoxlayın
Müştəridən yönləndiriciyə, sonra yönləndiricidən endpoint-ə sorğu göndərin. Müştəri uğursuz olub yönləndirici uğurlu olarsa, boşluq həmin ikisinin arasındadır.
Hər ikisi uğursuz olarsa, endpoint-dəki təhlükəsizlik siyasətinə və onun həqiqətən gördüyü mənbə ünvanına baxın. NAT arxasındakı yönləndirici noutbukun VPN ünvanı yerinə NAT ünvanını təqdim edir və yalnız bu fərq sorğunu atmaq üçün kifayətdir. Hər ikisi uğurlu olsa da tətbiq hələ də uğursuz olarsa, tətbiq sizin test etdiyinizdən fərqli resolver istifadə edir ola bilər.
İctimai və şəxsi ad məkanlarını qəsdən ayrı saxlayın. Split DNS konfiqurasiya etdiyiniz siyasətdir, bir axtarışın təsadüfən məlumat qaytarmasının yan təsiri deyil.
Nə etməzdim
Bir axtarışı işlədən NAT qaydası əlavə edib bunu dizayn adlandırmazdım.
Bir test bir dəfə qeyd qaytardı deyə hər uzaq müştərini üstəgəl iki ünvanına yönəltməzdim. Və bir yönləndiriciyə giriş lazım olduqda endpoint-in təhlükəsizlik siyasətini bütün VPN hovuzuna genişlətməzdim. Təşkilat artıq VPC daxilində təsdiqlənmiş yönləndirici işlədirsə, əvvəlcə o dizaynı oxuyun, çünki əlavə etdiyiniz ikinci endpoint heç kimin sənədləşdirmədiyi biridir.