Рэкурсія недаступная: палітыка DNS, а не зламаны тунель

Унутранае імя развязаваецца, і той самы сервер адказвае на знешняе імя адмовай пра рэкурсію. Гэта спалучэнне не супярэчнасць. Публікацыя ўласных зон і развязанне ўсяго інтэрнэту — асобныя паслугі, якія сервер можа прапаноўваць, і ён можа рабіць першую без другой. Разглядайце адмову як заяву пра палітыку, затым праверце, ці адпавядае палітыка задуме.

Адмова і таймаўт — розныя адказы

Запішыце імя, тып запыту, сервер, які адказаў, статус і вернутыя запісы. Папярэджанне пра рэкурсію не робіць аўтаматычна несапраўдным аўтарытэтны адказ, што прыйшоў разам з ім. Запішыце статус, перш чым яго тлумачыць. Статус, адноўлены па памяці праз гадзіну, — іншы факт.

Загаловак DNS нясе запыт на рэкурсію і пазначэнне, ці прапаноўвае яе сервер, і спецыфікацыя пратакола трымае гэтыя сцягі асобна ад даных адказу. Таму адказ можа быць карысным і ўсё ж несці скаргу. Таймаўт, адмоўны адказ і адмова — тры розныя вынікі. Кожны паказвае на свой узровень, і толькі адмова — гэта сервер, які паведамляе вам пра палітыку.

Спачатку прачытайце код статусу, потым вырашыце, ці мае значэнне папярэджанне для гэтага запыту. Аўтарытэтны адказ, які называе зону, прыдатны нават тады, калі рэкурсіўны біт адхілены. Адмова без адказу — вынік палітыкі, а не зламаны шлях пакетаў.

Што развязальнік запісаў як вашу крыніцу

Кліент можа прыйсці з пулу адрасоў па-за дазволенымі рэкурсіўнымі дыяпазонамі сервера, або трансляцыя можа зрабіць яго падобным на шлюз. Уласны адрас адаптара кліента не з'яўляецца доказам таго, што атрымаў развязальнік. Спытайце ў адміністратара сервера назіраную крыніцу, замест таго каб выводзіць яе са свайго боку шляху. Два адрасы могуць адрознівацца на кожным кроку, які транслюе.

Запытайце тое самае імя з кліента і з хоста, якому сервер ужо давярае. Розніца паміж двума адказамі — гэта стан крыніцы, і яна карыснейшая за любы з адказаў асобна.

dig +short host.corp.example
dig +short example.com

Калі разгортванне хоча рэкурсію для кліентаў VPN, адміністратар аўтарызуе адпаведны дыяпазон крыніц праз уласныя сродкі сервера. Адкрыць рэкурсію для ўсёй сеткі, каб прайшоў адзін тэст, — значна большая змена, чым тая, што правяраецца. Запішыце аўтарызаваны дыяпазон побач з правілам, бо наступны рэцэнзент спытае, якім крыніцам палітыка павінна служыць. Дыяпазон крыніц без уласніка — гэта шлях, якім часовы тэст робіцца пастаянным.

Падзелены DNS — гэта задума, а не няспраўнасць

Некаторыя разгортванні накіроўваюць толькі працоўныя дамены да прыватнага развязальніка, а ўсё астатняе — да іншага ўзгодненага развязальніка. Гэта задума маршрутызацыі запытаў, і яна не доказ таго, што прыватнаму серверу патрэбна больш свабодная палітыка. Пры такой задуме знешняе імя, якое не развязалася праз прыватны развязальнік, — гэта мэтавы вынік, а не няспраўнасць. Адмова — гэта праца задумы, а не сімптом, які трэба заглушыць.

Публічны развязальнік можа аднавіць прагляд, але зламаць унутраныя імёны або адправіць прыватныя запыты туды, куды ім нельга. Запішыце мэтавыя паводзіны, перш чым змяняць адрас любога развязальніка.

Праверце палітыку двума запытамі

Пасля мэтавага выпраўлення запытайце дазволенае прыватнае імя і знешняе імя з фактычнага кліента. То, што вернецца, павінна быць тым, што абяцае палітыка, а не проста цішэйшай дыягностыкай. Запішыце сервер, які адказаў, з кожным адказам, затым параўнайце пару з палітыкай. Параўнанне — гэта і ёсць тэст, а адзін паспяховы пошук — не.

resolvectl query host.corp.example
resolvectl query example.com

Калі прыватнае імя працуе, а публічнае адхіленае, палітыка робіць тое, што заяўляе. Калі прыватнае імя таксама не працуе, праблема ў зоне, маршруце або аўтарызацыі крыніцы, і рэкурсія — адцягненне. Абодва вынікі карысныя, і кожны выключае палову пакінутых гіпотэз.

Чытайце адмову як доказ

Адмова — гэта адказ. Яна азначае, што сервер атрымаў запыт і адмовіўся выконваць запытаную працу, што адрозніваецца ад пакета, які так і не прыйшоў. Гэта адрозненне — увесь дыягназ. Запішыце яго як адказ, а не як збой злучэння.

Гэта адрозненне падказвае, дзе шукаць: журналы сервера, яго палітыка доступу і запісаная крыніца. Змена міжсеткавага экрана не выправіць адмову палітыкі, а змена палітыкі не выправіць адсутны маршрут. Трымайце дзве гіпотэзы асобна, пакуль адна з іх не атрымае доказ.

Запішыце вынік і ўласніка палітыкі ў заяўку, каб наступны чалавек пачынаў з рашэння, а не з папярэджання. Назавіце аўтарызаваны дыяпазон крыніц і два імёны, якія вы праверылі. Заяўку з гэтымі трыма фактамі можна перазапусціць; тую, што кажа "рэкурсія зламаная", — нельга.