BIND dros VPN: anfon amodol neu barth stub?

Tair ffordd i ddatrys un parth preifat dros VPN, a phryd y mae pob un yn addas: forward, stub neu secondary, ynghyd â'r gwiriad cyfeiriad ffynhonnell sy'n penderfynu.

Mae eich resolver swyddfa yn ateb popeth heblaw un gofod enw corfforaethol, ac mae'r gweinydd DNS corfforaethol sy'n ei adnabod y tu ôl i VPN. Gall BIND drosglwyddo'r parth sengl hwnnw i'r upstream mewn tair ffordd wahanol, ac maent yn methu'n wahanol. Anfon amodol yw'r ymrwymiad lleiaf, mae parth stub yn cadw'r data dirprwyo, ac mae secondary yn cadw copi llawn. Dewiswch yn ôl yr hyn y bydd yr upstream yn ei ganiatáu ac yn ôl yr hyn rydych am i'ch resolver ei gadw, nid yn ôl pa ddyfyniad y daethoch o hyd iddo gyntaf.

Tri threfniant ar gyfer un gofod enw

TypeWhat your resolver keepsUpstream mustFails when
forwarda forwarder listanswer queries from your source addressupstream is down and forward only is set
stubthe zone's NS records and addressesanswer NS queries for the zonedelegation data goes stale after an NS change
secondarya full copy of the zonepermit AXFR or IXFR from your sourcetransfer is blocked by ACL or firewall

Anfon amodol: yr ymrwymiad lleiaf

Cymerwch resolver swyddfa yn 192.168.10.53 a gweinydd corfforaethol yn 10.40.0.53 y gellir ei gyrraedd dros dwnnel cymeradwy. Mae'r datganiad yn dair llinell, a'r un diddorol yw forward only, oherwydd mae'n newid yr ymddygiad methu yn hytrach na'r llwybr.

zone "corp.example" {
    type forward;
    forward only;
    forwarders { 10.40.0.53; };
};

Gyda forward only, mae upstream anghyraeddadwy yn cynhyrchu SERVFAIL ar gyfer y parth hwn yn lle cwympo'n ôl i ddatrysiad ailadroddus. Fel arfer dyma'r hyn rydych ei eisiau ar gyfer gofod enw preifat, oherwydd byddai'r cwympo'n ôl yn anfon enwau preifat i resolver cyhoeddus ac yn dychwelyd ateb diwerth o'r rhyngrwyd. Mae cyfeirlyfr BIND yn dogfennu'r ddwy bolisi, ac mae'r gwahaniaeth yn bwysicach nag y mae'r dyfyniad yn ei awgrymu. Cyfunwch y parth â'r ffurfweddiad presennol yn lle disodli parth sydd eisoes yn bodoli ar gyfer yr un enw.

Stub neu secondary: pan fo'r dirprwyo o bwys

Mae parth stub yn gofyn i'r gweinydd corfforaethol am gofnodion NS y parth ac yna'n holi'r gweinyddwyr awdurdodol yn uniongyrchol. Dewiswch ef pan fo rhanbarth yr upstream yn fawr neu'n isrannol ac rydych am i'ch resolver ddilyn y dirprwyo yn lle pinio popeth i un cyfeiriad. Y gost yw dibyniaeth ar ddata NS fod yn gyfredol, ac ar fod pob gweinydd enw a restrir yn gyraeddadwy o gyfeiriad ffynhonnell eich resolver.

zone "corp.example" {
    type stub;
    masters { 10.40.0.53; };
};

zone "corp.example" {
    type secondary;
    primaries { 10.40.0.53; };
    file "corp.example.db";
};

Mae secondary yn ateb o ddata lleol ac yn goroesi toriad upstream, a dyna'r rheswm dros dderbyn y ddibyniaeth drawsgludo. Mae hefyd yn golygu bod eich resolver bellach yn dal copi o barth nad yw'n berchen arno, felly mae llwybr y ffeil, yr ACL trosglwyddo ar y cynradd a'r amseryddion adnewyddu i gyd yn dod yn rhan o'ch arwyneb gweithredol.

Y gwiriad sy'n penderfynu rhyngddynt

Mae BIND yn cynhyrchu ei ymholiad allan ei hun, felly'r cwestiwn yw nid a all gliniadur gyrraedd 10.40.0.53 ond a all gwesteiwr y resolver, o'r cyfeiriad ffynhonnell y bydd y gweinydd corfforaethol yn ei weld. Gofynnwch i'r cnewyllyn, yna gofynnwch i'r gweinydd, yn y drefn honno.

ip route get 10.40.0.53
named-checkconf
rndc reload corp.example
dig @10.40.0.53 corp.example NS +norecurse
dig @192.168.10.53 portal.corp.example

Caniatáu UDP a TCP ar y llwybr: mae ateb wedi'i docio yn gorfodi TCP, ac mae polisi sy'n caniatáu UDP yn unig yn cynhyrchu methiannau eilaidd sy'n edrych fel colli pecynnau. Mae angen ar ochr y gorfforaeth reol derbyn ar gyfer ffynhonnell eich resolver a llwybr dychwelyd ato; gall y ffynhonnell honno fod yn gyfeiriad llwybro'r resolver neu'n gyfeiriad a gyfieithwyd yn eglur, ac anaml y mae'n gyfeiriad pwll cleientiaid. Os bydd yr ymholiad NS yn methu, ni all parth stub weithio waeth beth fo ymddygiad y parth forward.

Gwiriwch yr ateb, nid y twnnel

Ymholwch drwy resolver y swyddfa am enw nad ydych erioed wedi gofyn amdano, a gwiriwch adran awdurdod yr ateb i weld a ddaeth o'r parth corfforaethol. Nid yw ateb wedi'i storio yn profi dim am y llwybr presennol, ac nid yw ymholiad llwyddiannus yn uniongyrchol i'r upstream yn profi i'ch resolver ddewis y parth hwnnw. Ailadroddwch yr un ymholiad dros TCP i gadarnhau bod y llwybr yn goroesi'r tocio.

Cadwch gleientiaid yn pwyntio at resolver y swyddfa, a chadwch dilysu DNSSEC ymlaen. Mae porwr wedi'i ffurfweddu â resolver amgryptiedig annibynnol yn osgoi'r trefniant hwn yn llwyr, ac mae diffodd dilysu i wneud ateb annisgwyl yn edrych yn gywir yn cyfnewid methiant gweladwy am un anweledol.

Nodwch pa un o'r tri math a ddewiswyd gennych a pham. Bydd angen y frawddeg honno ar y person nesaf sy'n gweld y parth yn methu yn fwy na'r ffeil ffurfweddu.

Erthyglau cysylltiedig