রিকার্শন উপলব্ধ নয়: DNS নীতি, ভাঙা টানেল নয়

অভ্যন্তরীণ নামটি রিজলভ হয়, এবং একই সার্ভার একটি বাহ্যিক নামের উত্তরে রিকার্শন নিয়ে প্রত্যাখ্যান দেয়। এই সমন্বয় কোনো বিরোধ নয়। নিজের জোন প্রকাশ করা আর সমগ্র ইন্টারনেট রিজলভ করা সার্ভারের আলাদা দুটি সেবা, এবং সে প্রথমটি দ্বিতীয়টি ছাড়াই করতে পারে। প্রত্যাখ্যানকে নীতির ঘোষণা হিসেবে ধরুন, তারপর দেখুন নীতিটি নকশার সাথে মেলে কিনা।

প্রত্যাখ্যান আর টাইমআউট আলাদা উত্তর

নাম, কোয়েরি ধরন, উত্তরদাতা সার্ভার, স্ট্যাটাস আর ফেরত আসা রেকর্ড লিখে রাখুন। রিকার্শন সতর্কতা তার সাথে আসা কর্তৃত্বপূর্ণ উত্তরকে স্বয়ংক্রিয়ভাবে অবৈধ করে না। ব্যাখ্যা করার আগেই স্ট্যাটাসটি লিখুন। এক ঘণ্টা পরে স্মৃতি থেকে পুনর্গঠিত স্ট্যাটাস ভিন্ন একটি তথ্য।

DNS হেডার রিকার্শনের জন্য অনুরোধ এবং সার্ভার তা দেয় কিনা তার ইঙ্গিত বহন করে, আর প্রোটোকল স্পেসিফিকেশন ওই ফ্ল্যাগগুলোকে উত্তরের ডেটা থেকে আলাদা রাখে। এজন্য একটি উত্তর কাজের হতে পারে এবং তবুও অভিযোগ বহন করতে পারে। টাইমআউট, নঞর্থক উত্তর আর প্রত্যাখ্যান তিনটি আলাদা ফলাফল। প্রতিটি আলাদা স্তরের দিকে ইশারা করে, আর কেবল প্রত্যাখ্যানই হলো সার্ভার আপনাকে নীতি সম্পর্কে জানাচ্ছে।

আগে স্ট্যাটাস কোড পড়ুন, তারপর ঠিক করুন এই কোয়েরির জন্য সতর্কতাটি গুরুত্বপূর্ণ কিনা। জোনের নাম বলা কর্তৃত্বপূর্ণ উত্তর ব্যবহারযোগ্য, এমনকি রিকার্সিভ বিট প্রত্যাখ্যাত হলেও। উত্তরহীন প্রত্যাখ্যান একটি নীতির ফল, ভাঙা প্যাকেট পথ নয়।

রিজলভার আপনার উৎস হিসেবে যা লিখেছে

ক্লায়েন্ট সার্ভারের অনুমোদিত রিকার্সিভ রেঞ্জের বাইরের ঠিকানা পুল থেকে আসতে পারে, অথবা কোনো অনুবাদ তাকে গেটওয়ের মতো দেখাতে পারে। ক্লায়েন্টের নিজের অ্যাডাপ্টার ঠিকানা রিজলভার কী পেয়েছে তার প্রমাণ নয়। পথের আপনার দিক থেকে অনুমান না করে সার্ভারের প্রশাসকের কাছে পর্যবেক্ষিত উৎস জিজ্ঞাসা করুন। অনুবাদ করে এমন প্রতিটি হপে দুটি ঠিকানা আলাদা হতে পারে।

একই নাম ক্লায়েন্ট থেকে এবং সার্ভার যে হোস্টকে ইতিমধ্যে বিশ্বাস করে সেখান থেকেও কোয়েরি করুন। দুটি উত্তরের পার্থক্যই উৎসের অবস্থা, এবং এটি কোনো একটি উত্তরের চেয়ে বেশি কাজে লাগে।

dig +short host.corp.example
dig +short example.com

যদি ডিপ্লয়মেন্ট VPN ক্লায়েন্টের জন্য রিকার্শন চায়, প্রশাসক সার্ভারের নিজস্ব নিয়ন্ত্রণের মাধ্যমে উপযুক্ত উৎস রেঞ্জ অনুমোদন করেন। একটি পরীক্ষা পাস করাতে প্রতিটি নেটওয়ার্কে রিকার্শন খুলে দেওয়া যে পরীক্ষা চলছে তার চেয়ে অনেক বড় পরিবর্তন। অনুমোদিত রেঞ্জটি নিয়মের পাশে লিখুন, কারণ পরবর্তী পর্যালোচক জিজ্ঞাসা করবেন নীতিটি কোন উৎসের জন্য ছিল। মালিকহীন উৎস রেঞ্জই সাময়িক পরীক্ষাকে স্থায়ী করে তোলে।

স্প্লিট DNS একটি নকশা, ত্রুটি নয়

কিছু ডিপ্লয়মেন্ট কেবল কাজের ডোমেইনগুলো ব্যক্তিগত রিজলভারে পাঠায় আর বাকি সব আলাদা অনুমোদিত রিজলভারে পাঠায়। এটি কোয়েরি-রাউটিং নকশা, আর এটি প্রমাণ নয় যে ব্যক্তিগত সার্ভারের আরও শিথিল নীতি দরকার। ওই নকশায় ব্যক্তিগত রিজলভার দিয়ে বাহ্যিক নাম ব্যর্থ হওয়া কাঙ্ক্ষিত ফল, ত্রুটি নয়। প্রত্যাখ্যান হলো নকশার কাজ করা, চেপে রাখার লক্ষণ নয়।

একটি সার্বজনীন রিজলভার ব্রাউজিং ফিরিয়ে আনতে পারে, অথচ অভ্যন্তরীণ নাম ভাঙতে পারে বা ব্যক্তিগত কোয়েরি যেখানে যাওয়া উচিত নয় সেখানে পাঠাতে পারে। কোনো রিজলভারের ঠিকানা বদলানোর আগে অভীষ্ট আচরণ লিখে রাখুন।

দুটি কোয়েরি দিয়ে নীতি যাচাই করুন

অভীষ্ট সংশোধনের পর প্রকৃত ক্লায়েন্ট থেকে একটি অনুমোদিত ব্যক্তিগত নাম এবং একটি বাহ্যিক নাম কোয়েরি করুন। যা ফিরে আসে তা নীতির প্রতিশ্রুতি হওয়া উচিত, কেবল আরও নিঃশব্দ ডায়াগনস্টিক নয়। প্রতিটি উত্তরের সাথে উত্তরদাতা সার্ভার লিখুন, তারপর জোড়াটি নীতির সাথে মেলান। তুলনাটিই পরীক্ষা, একক সফল লুকআপ নয়।

resolvectl query host.corp.example
resolvectl query example.com

যদি ব্যক্তিগত নাম কাজ করে আর সার্বজনীন নাম প্রত্যাখ্যাত হয়, নীতি যা বলে তা-ই করছে। যদি ব্যক্তিগত নামও ব্যর্থ হয়, সমস্যা জোনে, রুটে বা উৎস অনুমোদনে, আর রিকার্শন বিভ্রান্তি। দুই ফলই কাজের, এবং প্রতিটি বাকি অনুমানের অর্ধেক বাদ দেয়।

প্রত্যাখ্যানকে প্রমাণ হিসেবে পড়ুন

প্রত্যাখ্যান একটি উত্তর। এর অর্থ সার্ভার কোয়েরিটি পেয়েছে এবং চাওয়া কাজটি করতে অস্বীকার করেছে, যা কখনো না আসা প্যাকেট থেকে আলাদা। এই পার্থক্যই গোটা রোগনির্ণয়। এটি উত্তর হিসেবে লিখুন, সংযোগ ব্যর্থতা হিসেবে নয়।

এই পার্থক্য বলে দেয় কোথায় দেখবেন: সার্ভারের লগ, তার অ্যাক্সেস নীতি আর যে উৎস সে লিখেছে। ফায়ারওয়াল পরিবর্তন নীতির প্রত্যাখ্যান সারাতে পারে না, আর নীতি পরিবর্তন অনুপস্থিত রুট সারাতে পারে না। দুটি অনুমান আলাদা রাখুন যতক্ষণ না একটির প্রমাণ থাকে।

ফলাফল আর নীতির মালিক টিকিটে লিখুন, যাতে পরের ব্যক্তি সতর্কতা থেকে নয়, সিদ্ধান্ত থেকে শুরু করেন। অনুমোদিত উৎস রেঞ্জ আর আপনি যে দুটি নাম পরীক্ষা করেছেন তা উল্লেখ করুন। ওই তিন তথ্যসহ টিকিট আবার চালানো যায়; যে টিকিট বলে "রিকার্শন ভাঙা" তা যায় না।