Rekurzija nije dostupna: DNS politika, a ne pokvaren tunel

Interno ime se razrješava, a isti server odgovara na eksterno ime odbijenicom zbog rekurzije. Ta kombinacija nije proturječnost. Objavljivanje vlastitih zona i razrješavanje cijelog interneta dvije su odvojene usluge koje server može nuditi, i on može obavljati prvu bez druge. Tretirajte odbijenicu kao izjavu o politici, pa provjerite odgovara li politika dizajnu.

Odbijenica i istek vremena dva su različita odgovora

Zapišite ime, tip upita, server koji odgovara, status i vraćene zapise. Upozorenje o rekurziji ne poništava automatski autoritativni odgovor koji je stigao s njim. Zapišite status prije nego ga protumačite. Status rekonstruiran iz sjećanja sat kasnije drugačija je činjenica.

Zaglavlje DNS-a nosi zahtjev za rekurziju i naznaku nudi li je server, a specifikacija protokola drži te zastavice odvojeno od podataka odgovora. Zato odgovor može biti koristan i nositi pritužbu. Istek vremena, negativan odgovor i odbijenica tri su različita ishoda. Svaki pokazuje na drugi sloj, i samo je odbijenica server koji vam govori o politici.

Prvo pročitajte statusni kod, pa odlučite je li upozorenje važno za ovaj upit. Autoritativni odgovor koji imenuje zonu upotrebljiv je čak i kad je rekurzivni bit odbijen. Odbijenica bez odgovora rezultat je politike, a ne pokvaren put paketa.

Šta je razrješivač zabilježio kao vaš izvor

Klijent može stizati iz skupa adresa izvan dopuštenih rekurzivnih raspona servera, ili ga prijevod može učiniti sličnim mrežnom prolazu. Vlastita adresa adaptera klijenta nije dokaz o tome šta je razrješivač primio. Pitajte administratora servera za zapaženi izvor umjesto da ga izvodite sa svoje strane puta. Dvije adrese mogu se razlikovati na svakom skoku koji prevodi.

Upitajte isto ime s klijenta i s hosta kojem server već vjeruje. Razlika između dva odgovora jest stanje izvora, i korisnija je od bilo kojeg odgovora samog.

dig +short host.corp.example
dig +short example.com

Ako implementacija želi rekurziju za VPN klijente, administrator ovlašćuje odgovarajući raspon izvora kroz vlastite kontrole servera. Otvaranje rekurzije prema svakoj mreži da bi jedan test prošao mnogo je veća promjena od one koja se testira. Zapišite ovlašteni raspon uz pravilo, jer će sljedeći recenzent pitati kojim je izvorima politika trebala služiti. Raspon izvora bez vlasnika način je na koji privremeni test postaje trajan.

Podijeljeni DNS je dizajn, a ne kvar

Neke implementacije šalju samo radne domene privatnom razrješivaču, a sve ostalo drugom odobrenom razrješivaču. To je dizajn usmjeravanja upita i nije dokaz da privatnom serveru treba labavija politika. U tom dizajnu vanjsko ime koje ne uspije kroz privatni razrješivač jest namjeravani ishod, a ne kvar. Odbijenica je dizajn koji radi, a ne simptom koji treba potisnuti.

Javni razrješivač može vratiti pregledanje, a pritom pokvariti interna imena ili poslati privatne upite tamo gdje ne smiju ići. Zapišite namjeravano ponašanje prije nego promijenite bilo koju adresu razrješivača.

Provjerite politiku s dva upita

Nakon namjeravane ispravke upitajte dopušteno privatno ime i vanjsko ime sa stvarnog klijenta. Ono što se vrati treba biti ono što politika obećava, a ne samo tiša dijagnostika. Zapišite server koji odgovara uz svaki odgovor, pa uporedite par s politikom. Poređenje je test, a jedno uspješno traženje nije.

resolvectl query host.corp.example
resolvectl query example.com

Ako privatno ime radi, a javno je ime odbijeno, politika radi ono što kaže. Ako i privatno ime ne uspije, problem je u zoni, ruti ili ovlaštenju izvora, a rekurzija je odvraćanje pažnje. Oba su ishoda korisna, i svaki isključuje polovinu preostalih hipoteza.

Čitajte odbijenicu kao dokaz

Odbijenica je odgovor. Znači da je server primio upit i odbio obaviti traženi posao, što se razlikuje od paketa koji nikad nije stigao. Ta razlika je cijela dijagnoza. Zabilježite je kao odgovor, a ne kao kvar povezanosti.

Ta razlika vam kaže gdje gledati: serverove zapise, njegovu politiku pristupa i izvor koji je zabilježio. Promjena vatrozida ne može ispraviti odbijenicu politike, a promjena politike ne može ispraviti rutu koja nedostaje. Držite dvije hipoteze odvojeno dok jedna od njih ne dobije dokaz.

Zapišite ishod i vlasnika politike u tiket, da sljedeća osoba krene od odluke, a ne od upozorenja. Navedite ovlašteni raspon izvora i dva imena koja ste testirali. Tiket s te tri činjenice može se ponovno pokrenuti; onaj koji kaže "rekurzija je pokvarena" ne može.