DNS del far de Nebula: qui pot consultar quins registres?
L’oient opcional respon amb dades d’amfitrions que el far té. Les consultes de registres A i TXT difereixen en abast i públic, així que lliga’l de manera deliberada.
El paper de far a Nebula fa molta feina que la gent suposa automàtica, i respondre DNS no és una d’elles. Servir noms és un oient opcional que arrenca desactivat, i per això un amfitrió que resol bé dins de l’overlay pot no tenir res per resoldre l’ordinador portàtil d’un company. Abans d’activar-lo, decidiu qui hi ha d’arribar i quins tipus de registre esteu disposats a respondre, perquè aquestes dues respostes són diferents.
L’oient és opcional i està desactivat per defecte
El descobriment i el DNS són serveis separats. El far ajuda els parells a trobar-se i, a més, pot respondre consultes de noms sobre amfitrions que coneix, però aquesta segona part s’ha d’activar explícitament a la configuració.
Decidiu quines interfícies i xarxes han d’arribar a l’oient abans d’habilitar res. Un servei DNS que respon en una interfície que no volíeu es converteix en una petita fuita d’informació sense cap entrada de registre que ningú llegeixi. La decisió és molt més barata ara que restringir-la després, quan alguna cosa depengui de la resposta equivocada. Dues línies de configuració són més fàcils de justificar que una nota d’incident d’aquí a sis mesos.
Els registres A i TXT no comparteixen públic
Aquests dos tipus de registre es responen en condicions diferents, i tractar-los com un sol servei és l’error que aquest article vol evitar.
| Query | What it returns | Who can reach it |
|---|---|---|
| A record for a host name | That host Nebula IP | Any host that can reach the listener, overlay or not |
| TXT for a host IP | Certificate information | Only over the Nebula network |
Aquesta asimetria és deliberada i no un descuit. Una correspondència nom-adreça té poc valor per a un extern, mentre que les metadades del certificat descriuen les identitats del vostre overlay. No passeu un supòsit d’una fila a l’altra només perquè el mateix procés respon les dues.
Només respon sobre els amfitrions propis del far
Això no és un resolutor general per a la vostra oficina, el vostre VPC al núvol o la internet pública. El far respon amb informació d’amfitrions que se li ha donat, i per això la funció viu als nodes de far i no a cada parell.
Quan falla un nom que no té res a veure amb l’overlay, trobeu la zona i el resolutor que realment el posseeixen. Barrejar un resolutor d’overlay a la configuració DNS general d’un amfitrió produeix fallades que semblen aleatòries, perquè alguns noms es resolen i a d’altres no respon res.
Vigileu també el punt d’entrada d’arrencada. Un nom d’amfitrió usat per arribar al primer far s’ha de resoldre per un camí ordinari abans que el descobriment hi pugui dependre, així que un problema de l’ou i la gallina aquí sembla exactament un overlay trencat. Fins i tot es presenta de la mateixa manera: un parell que no arrenca mai i cap motiu evident. Comproveu la resolució de noms abans de tocar certificats, perquè aquest ordre enxampa qui va començar per la meitat més difícil.
Comproveu l’adreça d’escolta i després proveu des de fora
lighthouse.dns.host i lighthouse.dns.port decideixen on escolta el servei opcional. Reviseu aquests valors al costat del tallafoc de l’amfitrió i la política de xarxa, perquè una adreça d’escolta és una declaració d’intencions i no un control de seguretat per si sola.
dig @10.42.0.1 -p 53 workstation.nebula A +short
dig @10.42.0.1 -p 53 10.42.0.7 TXT +shortConsulteu des de les xarxes que voleu permetre, no des del mateix far. Una consulta correcta al far demostra que el procés funciona i no us diu res sobre què pot preguntar un amfitrió extern, que és la pregunta que realment importa.
Exposeu-lo a propòsit
Els noms i les metadades del certificat són informació operativa útil, i la utilitat talla en tots dos sentits. Decidiu si l’oient ha de ser només per a l’overlay, quins tipus de registre permetre i qui revisa la configuració quan canvia.
Després escriviu-ho al costat de la configuració del far. La propera persona que depuri una fallada de resolució assumirà altrament que el servei sempre hi era. També assumirà que sempre era abastable des d’on li toqui provar. Un paràgraf que enregistri l’adreça d’escolta, les xarxes permeses i els tipus de registre estalvia a aquesta persona una tarda i us estalvia un missatge preguntant per què ha canviat alguna cosa.