Рекурсията не е налична: политика на DNS, а не счупен тунел

Вътрешното име се разрешава и същият сървър отговаря на външно име с отказ относно рекурсията. Тази комбинация не е противоречие. Публикуването на собствени зони и разрешаването на целия интернет са отделни услуги, които сървърът може да предлага, и той може да прави първото без второто. Третирайте отказа като изявление за политика, после проверете дали политиката отговаря на дизайна.

Отказът и изчакването са различни отговори

Запишете името, типа на заявката, сървъра, който отговаря, статуса и върнатите записи. Предупреждението за рекурсия не обезсилва автоматично авторитетен отговор, пристигнал с него. Запишете статуса, преди да го тълкувате. Статус, възстановен по памет след час, е различен факт.

Заглавната част на DNS носи заявка за рекурсия и указание дали сървърът я предлага, и спецификацията на протокола държи тези флагове отделно от данните на отговора. Затова един отговор може да е полезен и все пак да носи оплакване. Изчакване, отрицателен отговор и отказ са три различни резултата. Всеки сочи към различен слой и само отказът е сървърът, който ви казва за политика.

Прочетете първо кода на статуса, после решете дали предупреждението има значение за тази заявка. Авторитетен отговор, който назовава зоната, е използваем дори когато рекурсивният бит е отказан. Отказ без отговор е резултат от политика, а не счупен път на пакети.

Какво резолверът е записал като ваш източник

Клиентът може да идва от пул от адреси извън разрешените рекурсивни диапазони на сървъра, или транслация може да го направи да изглежда като шлюз. Собственият адрес на адаптера на клиента не е доказателство за това какво е получил резолверът. Попитайте администратора на сървъра за наблюдавания източник, вместо да го извеждате от вашата страна на пътя. Двата адреса могат да се различават при всеки хоп, който транслара.

Заявете същото име от клиента и от хост, на който сървърът вече вярва. Разликата между двата отговора е условието за източника и тя е по-полезна от всеки от отговорите поотделно.

dig +short host.corp.example
dig +short example.com

Ако внедряването иска рекурсия за VPN клиенти, администраторът оторизира подходящия диапазон от източници чрез собствените контроли на сървъра. Отварянето на рекурсия към всяка мрежа, за да мине един тест, е много по-голяма промяна от тази, която се тества. Запишете оторизирания диапазон до правилото, защото следващият прегледач ще попита на кои източници е трябвало да служи политиката. Диапазон от източници без собственик е начинът, по който временен тест става постоянен.

Разделеният DNS е дизайн, а не дефект

Някои внедрявания изпращат само работни домейни към частния резолвер, а всичко останало към друг одобрен резолвер. Това е дизайн за маршрутизиране на заявки и не е доказателство, че частният сървър се нуждае от по-свободна политика. При този дизайн външно име, което се проваля през частния резолвер, е желаният резултат, а не дефект. Отказът е дизайнът, който работи, а не симптом за потискане.

Публичен резолвер може да възстанови разглеждането, докато чупи вътрешни имена или изпраща частни заявки там, където не бива да отиват. Запишете желаното поведение, преди да промените адрес на който и да е резолвер.

Проверете политиката с две заявки

След желаната корекция заявете разрешено частно име и външно име от действителния клиент. Това, което се връща, трябва да е това, което политиката обещава, а не просто по-тиха диагностика. Запишете отговарящия сървър с всеки отговор, после сравнете двойката с политиката. Сравнението е тестът и едно успешно търсене не е.

resolvectl query host.corp.example
resolvectl query example.com

Ако частното име работи и публичното име е отказано, политиката прави това, което казва. Ако частното име също се проваля, проблемът е в зоната, маршрута или оторизацията на източника и рекурсията е разсейване. И двата изхода са полезни и всеки изключва половината от оставащите хипотези.

Четете отказа като доказателство

Отказът е отговор. Той означава, че сървърът е получил заявката и е отказал да извърши исканата работа, което е различно от пакет, който никога не е пристигнал. Това разграничение е целият диагноз. Запишете го като отговор, а не като отказ на свързаност.

Това разграничение ви казва къде да гледате: журналите на сървъра, политиката му за достъп и източникът, който е записал. Промяна в защитна стена не може да поправи отказ от политика, а промяна в политика не може да поправи липсващ маршрут. Дръжте двете хипотези отделно, докато една от тях има доказателство.

Запишете изхода и собственика на политиката в заявката, за да започне следващият човек от решението, а не от предупреждението. Назовете оторизирания диапазон от източници и двете имена, които тествахте. Заявка с тези три факта може да се пусне отново; такава, която казва "рекурсията е счупена", не може.