Rekurze není dostupná: politika DNS, ne rozbitý tunel

Interní jméno se přeloží a tentýž server odpovídá na externí jméno odmítnutím kvůli rekurzi. Tahle kombinace není protiklad. Zveřejňování vlastních zón a překlad celého internetu jsou dvě oddělené služby, které server může nabízet, a může dělat první bez druhé. Berte odmítnutí jako prohlášení o politice a pak zkontrolujte, zda politika odpovídá návrhu.

Odmítnutí a vypršení časového limitu jsou různé odpovědi

Zapište jméno, typ dotazu, odpovídající server, stav a vrácené záznamy. Varování o rekurzi automaticky neruší autoritativní odpověď, která přišla s ním. Zapište stav, než ho vyložíte. Stav rekonstruovaný po hodině z paměti je jiný fakt.

Hlavička DNS nese žádost o rekurzi a údaj, zda ji server nabízí, a specifikace protokolu drží tyto příznaky odděleně od dat odpovědi. Proto může být odpověď užitečná a přesto nést stížnost. Vypršení, negativní odpověď a odmítnutí jsou tři různé výsledky. Každý ukazuje na jinou vrstvu a jen odmítnutí je server, který vám říká o politice.

Nejprve přečtěte stavový kód, pak rozhodněte, zda je varování pro tento dotaz důležité. Autoritativní odpověď, která pojmenuje zónu, je použitelná i tehdy, když je rekurzivní bit odmítnut. Odmítnutí bez odpovědi je výsledek politiky, ne rozbitá cesta paketů.

Co resolver zaznamenal jako váš zdroj

Klient může přicházet z fondu adres mimo povolené rekurzivní rozsahy serveru, nebo ho překlad může vydávat za bránu. Vlastní adresa adaptéru klienta není důkazem o tom, co resolver přijal. Ptejte se správce serveru na pozorovaný zdroj, místo abyste ho odvozovali ze své strany cesty. Obě adresy se mohou lišit na každém skoku, který překládá.

Dotazujte stejné jméno z klienta i z hostitele, kterému server už věří. Rozdíl mezi oběma odpověďmi je stav zdroje a je užitečnější než kterákoli z odpovědí samostatně.

dig +short host.corp.example
dig +short example.com

Pokud nasazení chce rekurzi pro klienty VPN, správce autorizuje příslušný rozsah zdrojů prostřednictvím vlastních kontrol serveru. Otevřít rekurzi do celé sítě, aby prošel jeden test, je mnohem větší změna než ta, která se testuje. Zapište autorizovaný rozsah vedle pravidla, protože další recenzent se zeptá, kterým zdrojům měla politika sloužit. Rozsah zdrojů bez vlastníka je způsob, jak se dočasný test stane trvalým.

Rozdělený DNS je návrh, ne závada

Některá nasazení posílají pouze pracovní domény privátnímu resolveru a vše ostatní jinému schválenému resolveru. To je návrh směrování dotazů a není to důkaz, že privátní server potřebuje volnější politiku. V tomto návrhu je externí jméno, které přes privátní resolver selže, zamýšlený výsledek, ne závada. Odmítnutí je návrh, který funguje, ne symptom k potlačení.

Veřejný resolver může obnovit prohlížení, a přitom rozbít interní jména nebo poslat privátní dotazy tam, kam nemají. Zapište zamýšlené chování, než změníte adresu jakéhokoli resolveru.

Ověřte politiku dvěma dotazy

Po zamýšlené opravě se dotazujte na povolené privátní jméno a externí jméno ze skutečného klienta. Co se vrátí, má být to, co politika slibuje, ne jen tišší diagnostika. Zapište odpovídající server u každé odpovědi a pak dvojici porovnejte s politikou. Porovnání je test a jedno úspěšné hledání není.

resolvectl query host.corp.example
resolvectl query example.com

Pokud privátní jméno funguje a veřejné je odmítnuto, politika dělá, co říká. Pokud selže i privátní jméno, problém je v zóně, trase nebo autorizaci zdroje a rekurze je rozptýlení. Oba výsledky jsou užitečné a každý vylučuje polovinu zbývajících hypotéz.

Čtěte odmítnutí jako důkaz

Odmítnutí je odpověď. Znamená, že server dotaz přijal a odmítl požadovanou práci vykonat, což je jiné než paket, který nikdy nedorazil. To rozlišení je celá diagnóza. Zaznamenejte ho jako odpověď, ne jako selhání konektivity.

To rozlišení vám řekne, kam se dívat: do logů serveru, jeho přístupové politiky a zdroje, který zaznamenal. Změna firewallu nemůže opravit odmítnutí politiky a změna politiky nemůže opravit chybějící trasu. Držte obě hypotézy oddělené, dokud jedna z nich nemá důkaz.

Zapište výsledek a vlastníka politiky do tiketu, aby další člověk začal u rozhodnutí, ne u varování. Uveďte autorizovaný rozsah zdrojů a dvě jména, která jste testovali. Tiket s těmito třemi fakty lze znovu spustit; ten, který říká "rekurze je rozbitá", ne.