Mae DNS preifat yn gweithio yn y VPC ond nid dros y VPN
Mae enw preifat sy'n datrys y tu mewn i EC2 ond nid dros y VPN yn broblem llwybr resolver. Darllenwch siâp y methiant cyn i chi olygu'r cofnod parth.
Mae enw preifat yn datrys o enghraifft EC2 ond nid o liniadur sydd wedi'i gysylltu drwy'r VPN, ac mae'r parth yn edrych yn gywir yn y consol. Y reddf gyntaf yw golygu'r cofnod, sy'n anaml iawn yw'r broblem. Mae'r cofnod yn ateb rhywun; nid yw ond yn ateb eich liniadur. Y gwahaniaeth rhwng y ddau alwyr yw pa resolver maen nhw'n gofyn iddo, ac a oes gan y resolver hwnnw lwybr â chymorth i mewn i olwg DNS y VPC.
Rwy'n dechrau drwy brofi bod y cofnod yn bodoli, yna treulio'r gweddill ar lwybr yr ymholiad. Mae'r rhain yn systemau ar wahân ac maen nhw'n methu mewn gwahanol ffyrdd.
Darllenwch siâp y methiant cyn newid unrhyw beth
Mae tri chanlyniad yn golygu tri pheth gwahanol, ac mae un ymholiad yn eu gwahaniaethu: rhedeg dig ar gyfer yr enw yn erbyn y resolver mae'r cleient yn ei ddefnyddio mewn gwirionedd.
| What you see | What it usually means | First thing to check |
|---|---|---|
| SERVFAIL, or a timeout after several seconds | No path to the resolver, or the resolver cannot reach AWS | Route to the endpoint and the security policy on port 53 |
| NXDOMAIN from a resolver that did answer | The resolver replied, but the zone is not in its view | Zone association or the forwarding rule for that namespace |
| A public address for an internal name | Split DNS is not in effect for this client | Which resolver the client is configured to use |
Mae terfyn amser yn ddatganiad am y rhwydwaith. Mae NXDOMAIN yn ddatganiad am olwg DNS. Mae ateb cyhoeddus yn ddatganiad am y polisi. Mae golygu cofnod parth tra bo terfyn amser yn taflu'r unig dystiolaeth ddefnyddiol yn yr achos.
Pam nad yw cyfeiriad plws-dau y VPC yn resolver o bell
Mae cyfeiriad CIDR plws-dau yn wasanaeth lleol ar gyfer adnoddau y tu mewn i'r VPC. Mae AWS yn dogfennu bod anfon ymholiadau ymlaen o rwydweithiau ar-safle, neu o weinyddion DNS VPC arall, yn uniongyrchol i'r cyfeiriad hwnnw heb ei gefnogi a gall roi canlyniadau ansefydlog.
Nid yw hynny'n golygu nad yw arbrawf byth yn ymddangos yn gweithio. Mae'n golygu nad yw'r ymddygiad yn gontract y gellir ei roi mewn sgript desg gymorth. Y cyfeiriad â chymorth yw Resolver-endpoint sy'n dod i mewn: pâr o gyfeiriadau y tu mewn i'ch VPC, yn cyrraedd o'r rhwydwaith rydych chi'n ei reoli, sy'n derbyn ymholiadau sy'n dod o'r tu allan i AWS.
Adeiladwch y llwybr yn y drefn y mae'n methu'n lân
Rhaid i dri cham fodoli, ac mae gan bob un ei ffordd ei hun o fethu.
VPN client -> approved DNS forwarder
forwarder -> forwarding rule for internal.example
forwarding rule -> Resolver inbound endpoint addressesMae angen llwybr ar y trosglwyddydd i gyfeiriadau'r endpoint drwy'r VPN, a rhaid i'r llwybr dychwelyd weithio hefyd. Ar gyfer DNS confensiynol ar borth 53 mae'r endpoint yn ateb dros UDP a TCP, felly rhaid caniatáu'r ddau brotocol a rhaid i'r ddau oroesi unrhyw arolygiad cyflwr yn y canol.
Yna gwiriwch olwg DNS ar wahân. Dim ond y VPCau y mae wedi'i gysylltu â nhw sy'n gweld parth cynnal preifat, neu drwy drefniant rhannu bwriadol. Nid yw endpoint y gellir ei gyrraedd ynddo'i hun yn gwneud pob parth preifat yn ddatrysiadwy yn ei gyd-destun datrys.
Mae endpoint allan yn gwasanaethu'r cyfeiriad arall ac ni fydd yn ateb ymholiad sy'n dod i mewn o'ch liniadur.
Gwiriwch o'r ddau ben
Gofynnwch o'r cleient yn erbyn y trosglwyddydd, yna o'r trosglwyddydd yn erbyn yr endpoint. Os yw'r cleient yn methu tra bo'r trosglwyddydd yn llwyddo, mae'r bwlch rhwng y ddau hynny.
Os yw'r ddau yn methu, edrychwch ar y polisi diogelwch ar yr endpoint ac ar y cyfeiriad ffynhonnell y mae'n ei weld mewn gwirionedd. Mae trosglwyddydd y tu ôl i NAT yn cyflwyno cyfeiriad NAT yn hytrach na chyfeiriad VPN y liniadur, ac mae'r gwahaniaeth hwnnw ar ei ben ei hun yn ddigon i ollwng yr ymholiad. Os yw'r ddau yn llwyddo ond mae'r cymhwysiad yn methu o hyd, efallai bod y cymhwysiad yn defnyddio resolver gwahanol i'r un a brofwyd gennych.
Cadwch y gofodau enw cyhoeddus a phreifat ar wahân yn fwriadol. Mae Split DNS yn bolisi rydych chi'n ei ffurfweddu, nid ochr-effaith un chwiliad sy'n digwydd dychwelyd data.
Yr hyn na wnawn i
Ni fyddwn yn ychwanegu rheol NAT a wnaeth i un chwiliad weithio a galw hynny'n gynllun.
Ni fyddwn yn cyfeirio pob cleient o bell at y cyfeiriad plws-dau dim ond oherwydd i un prawf ddychwelyd cofnod unwaith. Ac ni fyddwn yn ehangu polisi diogelwch yr endpoint i'r gronfa VPN gyfan pan fo angen mynediad ar un trosglwyddydd yn unig. Os yw'r sefydliad eisoes yn rhedeg trosglwyddydd cymeradwy y tu mewn i'r VPC, darllenwch y cynllun hwnnw gyntaf, oherwydd yr ail endpoint rydych chi'n ei ychwanegu yw'r un nad oes neb yn ei ddogfennu.