La recursió no està disponible: una política de DNS, no un túnel trencat

El nom intern es resol, i el mateix servidor respon a un nom extern amb una denegació sobre la recursió. Aquesta combinació no és una contradicció. Publicar les seves pròpies zones i resoldre tot l’internet són serveis separats que un servidor pot oferir, i pot fer el primer sense el segon. Tracta la denegació com una declaració de política i després comprova si la política coincideix amb el disseny.

Una denegació i un temps d’espera són respostes diferents

Anota el nom, el tipus de consulta, el servidor que respon, l’estat i els registres retornats. Un avís de recursió no invalida automàticament una resposta autoritativa que arribi amb ell. Escriu l’estat abans d’interpretar-lo. Un estat reconstruït de memòria una hora després és un fet diferent.

La capçalera DNS porta una petició de recursió i una indicació de si el servidor l’ofereix, i l’especificació del protocol manté aquests indicadors separats de les dades de la resposta. Per això una resposta pot ser útil i portar una queixa. Un temps d’espera, una resposta negativa i una denegació són tres resultats diferents. Cadascun apunta a una capa diferent, i només la denegació és el servidor dient-te coses sobre la política.

Llegeix primer el codi d’estat i després decideix si l’avís importa per a aquesta consulta. Una resposta autoritativa que anomena la zona és utilitzable fins i tot quan es denega el bit recursiu. Una denegació sense resposta és un resultat de política, no un camí de paquets trencat.

Què va registrar el resolutor com a origen teu

El client pot arribar des d’un conjunt d’adreces fora dels rangs recursius permesos del servidor, o una traducció pot fer que sembli una passarel·la. L’adreça del propi adaptador del client no és cap prova del que va rebre el resolutor. Demana a l’administrador del servidor l’origen observat en lloc d’inferir-lo des del teu costat del camí. Les dues adreces poden diferir a cada salt que tradueix.

Consulta el mateix nom des del client i des d’un equip en què el servidor ja confia. La diferència entre les dues respostes és la condició d’origen, i és més útil que qualsevol de les respostes per separat.

dig +short host.corp.example
dig +short example.com

Si el desplegament vol recursió per als clients de VPN, l’administrador autoritza el rang d’origen adequat amb els controls propis del servidor. Obrir la recursió a totes les xarxes perquè passi una prova és un canvi molt més gran que el que s’està provant. Escriu el rang autoritzat al costat de la regla, perquè el següent revisor preguntarà a quins orígens havia de servir la política. Un rang d’origen sense propietari és com una prova temporal es fa permanent.

El DNS dividit és un disseny, no una falla

Alguns desplegaments envien només els dominis de feina al resolutor privat i tota la resta a un altre resolutor aprovat. Això és un disseny d’encaminament de consultes, i no és prova que el servidor privat necessiti una política més laxa. Amb aquest disseny, un nom extern que falla pel resolutor privat és el resultat previst i no una falla. La denegació és el disseny funcionant, no un símptoma a amagar.

Un resolutor públic pot restaurar la navegació mentre trenca noms interns o envia consultes privades on no haurien d’anar. Escriu el comportament previst abans de canviar cap adreça de resolutor.

Verifica la política amb dues consultes

Després de la correcció prevista, consulta un nom privat permès i un nom extern des del client real. El que torni hauria de ser el que promet la política, no només un diagnòstic més silenciós. Anota el servidor que respon amb cada resposta i després compara la parella amb la política. La comparació és la prova, i una sola consulta amb èxit no ho és.

resolvectl query host.corp.example
resolvectl query example.com

Si el nom privat funciona i el nom públic és denegat, la política fa el que diu. Si el nom privat també falla, el problema és la zona, la ruta o l’autorització d’origen, i la recursió és una distracció. Els dos resultats són útils, i cadascun descarta la meitat de les hipòtesis restants.

Llegeix la denegació com a prova

Una denegació és una resposta. Vol dir que el servidor va rebre la consulta i va declinar fer la feina demanada, cosa que és diferent d’un paquet que no va arribar mai. Aquesta distinció és tot el diagnòstic. Registra-la com una resposta i no com una fallada de connectivitat.

Aquesta distinció et diu on mirar: els registres del servidor, la seva política d’accés i l’origen que va registrar. Un canvi de tallafoc no pot arreglar una denegació de política, i un canvi de política no pot arreglar una ruta que falta. Mantén les dues hipòtesis separades fins que una tingui proves.

Escriu el resultat i el propietari de la política al tiquet, perquè la següent persona comenci per la decisió i no per l’avís. Anomena el rang d’origen autoritzat i els dos noms que has provat. Un tiquet amb aquests tres fets es pot tornar a executar; un que diu "la recursió està trencada" no.