El túnel està actiu, però per què el nom privat continua fallant?

Tot de la connexió sembla correcte: el túnel està actiu i la consola mostra el punt final privat, però cada sol·licitud falla en la resolució de noms. El moviment natural és culpar el túnel, que normalment resulta innocent. La consulta s'envia a un servidor que no sap res de la zona privada. Cap canvi d'encaminament alterarà aquesta resposta, perquè el problema és a qui s'ha preguntat.

A quin resolutor ha arribat la consulta?

Trobeu el resolutor associat a cada enllaç abans de mirar el túnel. Linux exposa els servidors per enllaç amb l'ordre d'estat del resolutor, i macOS mostra resolutors amb abast al bolcat de configuració DNS. Si la resposta encara ve del router de casa, l'enllaç del túnel no s'ha consultat mai.

resolvectl status
scutil --dns | head -40
dig +short internal.example.com

Aquí es confonen dues etapes: un servidor que empeny una adreça de resolutor i un client que la instal·la a l'enllaç actiu. Un perfil pot contenir l'opció i un registre pot mostrar que arriba, mentre el sistema operatiu continua usant el servidor antic. Compareu el registre amb el que informa l'enllaç i confieu en l'enllaç.

Useu una adreça a la qual la xarxa del núvol respongui de debò

Les xarxes del núvol solen respondre als noms privats mitjançant una adreça reservada desplaçada dos llocs des de la base del rang, així que una xarxa que comença a 10.0.0.0 respon a 10.0.0.2. Alguns proveïdors també publiquen un resolutor local d'enllaç que funciona sense conèixer el rang, cosa que ajuda quan la xarxa l'ha construïda algú altre. Consulteu l'adreça candidata directament abans de passar-la a ningú. Una adreça que no és un resolutor sembla exactament una caiguda del tallafoc, perquè la consulta simplement no rep mai resposta.

Si la consulta directa respon des de dins de la xarxa però no a través del túnel, el resolutor està bé i el camí entre els dos punts no. Aquest resultat mou la investigació cap a rutes, reenviament i regles d'accés en lloc del perfil del client.

Un túnel no transporta l'espai de noms

Els paquets travessen; els noms no. Cal dir a cada costat quin espai de noms pertany a l'altre, i això és un objecte separat que posseeix qui té la zona. La forma habitual és un reenviament per a un espai de noms, apuntat a un resolutor accessible pel túnel.

A la pràctica, cada direcció necessita la seva pròpia regla, perquè el costat que posseeix la zona és el que ha d'enviar la consulta. Totes dues direccions necessiten que l'origen de la consulta estigui encaminat i permès, i el costat que respon ha de retornar les respostes pel túnel en lloc de dirigir-les a internet. Manteniu el reenviament estret, de manera que només l'espai de noms privat depengui de l'enllaç. Enviar cada consulta a través seu converteix una dependència petita en una caiguda total en el moment que el túnel cau.

Recorreu les fronteres en ordre

Proveu el resolutor instal·lat a l'enllaç actiu, després una consulta directa a aquest resolutor, després la mateixa consulta des del costat llunyà i finalment l'aplicació que usa el mateix nom. Cada pas aïlla una frontera, així que un fracàs us diu on mirar en lloc de reiniciar la investigació. Una resposta que funciona mentre l'aplicació falla apunta a la confiança del certificat o a una política d'API en lloc de DNS. Aquestes fallades són reals i cap canvi de resolutor les repararà.

Anoteu quin pas ha fallat. Aquesta única línia és el que necessita la següent persona, i registrar-la costa deu segons.

Manteniu la cadena on la següent persona la pugui trobar

Registreu el resolutor empès, la regla de reenviament, l'origen de consulta permès i el punt final que respon en un sol lloc. Quan el nom privat torni a fallar, el registre mostra si el túnel s'ha mogut, si l'adreça del resolutor ha canviat o si s'ha estret una regla. Sense això, cada incident comença de zero i acaba amb les mateixes tres conjectures.

Manteniu el registre prou curt perquè continuï sent exacte: quatre línies, una data i el nom de qui posseeix cada part. Un registre antic és pitjor que cap, perquè sembla autoritatiu mentre és incorrecte.