DNS del VPN incorrecte? Un servidor autoritatiu pot estar obsolet

Connecteu el VPN i un nom d’amfitrió es resol a l’adreça d’ahir, o a res. Desconnecteu i torna a funcionar. El reflex és culpar el resolutor que el túnel ha imposat, però la causa més habitual és un servidor de noms publicat que va deixar de rebre actualitzacions de la zona. El camí nou simplement va arribar a un altre autoritatiu que el de la resposta que teníeu a la memòria cau.

El símptoma canvia segons el resolutor

Un resolutor recursiu retorna el que li va dir un autoritatiu i després conserva aquesta resposta durant el TTL. Si el túnel imposa un altre resolutor, o canvia el camí de manera que l’antic ja no sigui accessible, el client pregunta a un altre autoritatiu i obté una resposta diferent. El domini no va canviar en aquell moment; la vostra visió d’ell sí.

Per això un mateix nom pot funcionar en una oficina i fallar des d’un hotel, i per això buidar la memòria cau local només ajuda de vegades. Buidar la memòria cau torna a enviar la pregunta al mateix autoritatiu.

La prova que els distingeix és una consulta directa a cada servidor publicat.

Consulteu cada autoritatiu directament

Comenceu per la delegació i no per una llista que recordeu. Demaneu al servidor pare el conjunt NS i després consulteu cada nom d’aquest conjunt pel registre que us interessa. Dues consultes del mateix nom a autoritatius diferents us diuen de seguida si la zona és coherent.

dig +short NS example.com
dig @ns1.dns.example app.example.com A
dig @ns2.dns.example app.example.com A

Feu el mateix amb els registres NS de l’àpex de la zona, perquè la delegació del pare i el conjunt NS propi de la zona poden discrepar després d’una migració. Els números de sèrie del SOA són la següent cosa a comparar, i un secundari molt endarrerit és un problema de transferència, no de resposta.

Executeu aquestes consultes des de la xarxa que falla, no només des del vostre escriptori.

Separeu les vistes volgudes de les trencades

Alguns dominis responen deliberadament de manera diferent segons la regió o el grup de resolutors, i les configuracions d’horitzó dividit són normals a les xarxes empresarials.

La qüestió és si la diferència està documentada i és estable. Una vista no volguda es veu diferent: un autoritatiu té un registre que els altres no van rebre mai, o li’n falta un que tots comparteixen. La guia RFC 2182 de selecció i desplegament tracta la disponibilitat autoritativa com una responsabilitat compartida, i aquest és el marc correcte aquí. La redundància només existeix si cada servidor publicat pot respondre amb les dades volgudes, no pas si només accepta una connexió al port 53.

Un servidor que respon SERVFAIL és més fàcil de diagnosticar que un que respon amb seguretat i equivocadament.

Una migració exposa el que la memòria cau amagava

Durant un canvi de proveïdor canvien dos llocs autoritatius: la delegació del pare i els registres NS propis de la zona. Tots dos s’han d’actualitzar, i tots dos es guarden a la memòria cau durant els seus TTL. Si un servidor antic continua engegat i serveix la zona anterior, els clients els resolutors dels quals el consulten seguiran rebent la resposta antiga molt després que la migració sembli completa.

Aquest és exactament l’estat que amaga una memòria cau de llarga durada. L’estació de treball que va funcionar tota la setmana parlava amb un resolutor que tenia una resposta fresca del nou autoritatiu, mentre el vell continuava repartint dades obsoletes a tota la resta.

Canviar el resolutor en un portàtil arregla aquell portàtil i res més.

Arregleu la zona, no el resolutor

Identifiqueu quins servidors han de ser autoritatius per a la zona, corregiu la zona gestionada o la delegació perquè cadascun d’ells serveixi les dades volgudes, i manteniu la redundància que havíeu planificat. Esborrar un servidor de noms perquè una sortida VPN va rebre una resposta estranya redueix la disponibilitat i deixa la incoherència al seu lloc.

Després torneu a executar les consultes directes des de les dues xarxes i espereu que caduqui el TTL del registre que heu canviat.

Confirmeu que la resposta és estable des de cada autoritatiu, i escriviu la vista volguda a la documentació de la zona perquè la propera diferència sigui fàcil de classificar.