Nid yw NXDOMAIN dros VPN yn golygu toriad twnnel

Mae’n demtasiwn darllen un chwiliad aflwyddiannus fel prawf bod y twnnel wedi cwympo, yn enwedig pan oedd yr enw’n gweithio ddeng munud yn gynt. Mae’r ateb yn dweud fel arall. Mae NXDOMAIN yn drafodiad DNS cwblhäedig lle mae datryswr wedi datgan nad yw’r enw a ofynnwyd amdano yn bodoli; mae twnnel wedi torri fel arfer yn cynhyrchu distawrwydd, goramser, neu ymgais datrysu yn erbyn y gweinydd anghywir. Fersiwn yr ymresymiad heb wireshark yw un ymholiad, un atebydd ac un cod ateb, ac mae’n werth cofnodi’r triawd hwnnw cyn unrhyw newid cyfluniad.

Beth mae’r ateb yn ei sefydlu mewn gwirionedd

Mae DNS yn gwahanu canlyniadau y mae cleientiaid yn aml yn eu colapsio’n un methiant. Mae enw nad yw’n bodoli yn cynhyrchu ateb negyddol gyda’r cod NXDOMAIN, tra bod enw sy’n bodoli ond heb gofnod o’r math a ofynnwyd yn cynhyrchu ateb llwyddiannus ag adran atebion wag. Mae’r ddau’n edrych fel dim defnyddiol i raglen, a dim ond un ohonynt sy’n golygu bod yr enw’n anghywir.

Mae’r gwahaniaeth hwnnw’n penderfynu ble mae’r trwsio’n perthyn. Nid yw cofnod AAAA ar goll ar westeiwr sydd â chofnod A yn westeiwr ar goll, ac mae ailddyroddi tystysgrif neu ailadeiladu twnnel i’w erlid yn gwastraffu’r unig gliw oedd ar gael. Mae’r gwahaniaeth hefyd yn gosod siâp y cam nesaf: mae problem enwi’n cael ei thrwsio yn y parth, a phroblem math yn cael ei thrwsio drwy ofyn am y cofnod cywir neu drwy dderbyn nad yw’r teulu cyfeiriadau yn bodoli o gwbl.

Y myth: mae enw preifat ar goll yn golygu bod y twnnel wedi methu

Mae’r myth yn goroesi oherwydd bod y ddwy ddigwyddiad yn aml yn dod gyda’i gilydd. Mae cleient yn cysylltu â’r VPN, mae’r system weithredu’n cadw datryswr yr oedd eisoes yn ymddiried ynddo, ac mae’r enw mewnol sydd ei angen nawr yn cael ei ofyn i weinydd nad yw erioed wedi clywed am y parth preifat. Mae’r gweinydd hwnnw’n ateb yn onest ac yn negyddol. Mae’r twnnel yn cario’r pecyn; mae’r ateb yn syml yn ymwneud â gofod enwau nad yw’r atebydd yn ei wasanaethu.

Mae trefniadau gorwel hollt yn gwneud hyn yn arferol: mae’r un enw parth yn bodoli’n gyhoeddus ac yn fewnol â chynnwys gwahanol, a dim ond y datryswr mewnol sy’n gwybod y cofnodion preifat. Felly mae cael ateb negyddol sy’n ymddangos yn awdurdodol yn dystiolaeth o ba ddatryswr a atebodd, nid yn dystiolaeth o gyflwr y rhyngwyneb.

Mae dau fanylyn cyfluniad yn penderfynu’r canlyniad. Rhaid i’r twnnel wthio neu ddewis y datryswr mewnol, a rhaid i’r cleient gymhwyso’r dewisiad hwnnw i’r enw sy’n cael ei chwilio. Bydd rheol fesul parth sy’n enwi ôl-ddodiad ychydig yn wahanol i’r cofnod a deipiwyd gennych yn anfon yr ymholiad ar y llwybr cyhoeddus, a bydd yr ateb yn gywir ac yn ddiwerth.

Gofynnwch i’r datryswr cywir gyda’r enw cywir

Cofnodwch yr atebydd cyn cofnodi’r farn. Ni all chwiliad nad yw’n dangos pa weinydd a atebodd wahaniaethu rhwng problem polisi a phroblem gofod enwau, ac mae gan y ddau drwsiadau di-gysylltiad.

resolvectl query vpn.internal.example
resolvectl status | grep -A3 'DNS Servers'
dig +search app.intranet.example A
dig @10.8.0.1 app.intranet.example A

Mae’r ddwy linell gyntaf yn dangos beth a benderfynodd y datryswr lleol a phwy y byddai’n gofyn iddo. Mae’r chwiliad +search yn atgynhyrchu’r hyn y mae rhaglen yn ei wneud pan fydd yn ychwanegu ôl-ddodiad chwilio, sef yr ymholiad go iawn yn aml yn hytrach na’r un a deipiwyd i offeryn diagnostig. Mae’r llinell olaf yn gofyn i’r gweinydd mewnol yn uniongyrchol, gan osgoi polisi’r cleient; os yw hynny’n llwyddo tra bod y chwiliad plaen yn methu, mae’r parth yn iawn ac nid yw llwybro ymholiadau.

Mae caches negyddol yn esbonio’r oedi ar ôl trwsio

Mae atebion negyddol yn cael eu cache per dyluniad, ac mae RFC 2308 yn disgrifio sut mae oes y cache negyddol yn deillio o gofnod awdurdod y parth. Felly nid yw cywiro cofnod neu reol datryswr yn gwarantu newid ar unwaith ar y cleient, ac nid yw ailgynnig chwiliad sy’n parhau i ddychwelyd yr ateb cache yn profi dim byd newydd. Dim ond atebydd gwahanol, enw gwahanol neu cache wedi’i fflysio sy’n cynhyrchu tystiolaeth ffres.

Fflysiwch y cache lleol, yna ailadroddwch yr un ymholiad yn erbyn yr un atebydd. Ar systemau sy’n defnyddio’r gwasanaeth datryswr lleol mae hynny’n un gorchymyn; ar eraill mae’n ailgychwyn gwasanaeth neu’n gyfleustod platfform, ac mae’r offeryn penodol yn llai pwysig na rhoi prawf unfath arall wedyn.

Gwahanwch yr enw oddi wrth y llwybr

Unwaith y bydd yr enw’n datrysu i’r cyfeiriad preifat disgwyliedig, mae DNS wedi gorffen fel pwnc a’r llwybr rhaglen yw’r cwestiwn nesaf. Mae gan westeiwr sy’n ateb chwiliadau ond yn gwrthod cysylltiad broblem wahanol, ac mae parhau i addasu datryswyr ar ôl ateb cywir yn ffordd i ddigwyddiad gael tri newid di-gysylltiad. Cymharwch y cyfeiriad sydd wedi’i ddatrysu â’r un y mae’r gwasanaeth mewn gwirionedd yn gwrando arno cyn tybio bod y ddau’n cytuno.

Cadwch y trawsgrifiad: yr ymholiad, yr atebydd, y cod a’r cyfeiriad sydd wedi’i ddatrysu. Mae’r cofnod hwnnw hefyd yn gwneud adroddiad diweddarach yn wiriadwy, a dyma’r gwahaniaeth rhwng diagnosis a stori am dwnnel a oedd yn ymddangos yn araf.