Pam mae parth Route 53 preifat yn dychwelyd NXDOMAIN am enwau cyhoeddus

Mae parthau Route 53 preifat yn disodli’r ateb ar gyfer enw yn hytrach na chyfuno â’r cofnod cyhoeddus, ac mae hynny’n synnu pobl ar yr adeg waethaf. Ychwanegwch un cofnod mewnol ar gyfer api.example.net mewn parth preifat ar gyfer example.net, cysylltwch ef â VPC, ac mae pob enw arall o dan y rhiant hwnnw bellach yn ateb o’r parth preifat yn unig. Mae cleient a allai gyrraedd www.example.net ddoe yn cael ateb negyddol heddiw. Mae’r daith isod yn dechrau o’r ymholiad methiedig hwnnw ac yn mynd tuag allan at y parth a’i hatebodd.

Dechreuwch o’r ymholiad, nid o’r consol

Ailadroddwch y methiant ar y cleient a’i hadroddodd, a chofnodwch yr enw a’r math cofnod yn union. Enw sy’n methu ar gyfer A gallai o hyd ddatrys ar gyfer AAAA, ac mae porwr sy’n ailgeisio enw wedi’i storio yn cuddio pa un sydd wedi torri. Rhedewch yr ymholiad ddwywaith: unwaith drwy’r datryswr y mae’r cleient yn ei ddefnyddio mewn gwirionedd, ac unwaith gydag olrhain sy’n ei osgoi.

dig +short api.example.net
dig www.example.net +noall +comments +authority
resolvectl query www.example.net

Yr ail orchymyn yw’r un pwysig. Mae ei linell statws a’i adran awdurdod yn enwi’r parth a gynhyrchodd yr ateb, felly gallwch wahaniaethu ateb negyddol o’r parth preifat oddi wrth derfyn amser, porth wedi’i rwystro neu ddatryswr na chafodd yr ymholiad o gwbl. resolvectl yn dangos pa uwch-weinydd y gofynnwyd iddo, ac yn aml nid y datryswr y tybiasoch fod y VPN wedi’i anfon.

Os yw’r ymholiad wedi’i olrhain yn dychwelyd y cyfeiriad cyhoeddus tra nad yw’r un arferol yn gwneud, mae’r cofnod cyhoeddus yn gyfan a’r olygfa breifat sy’n ateb. Mae’r un gymhariaeth honno’n penderfynu pa hanner o weddill y dudalen hon sy’n berthnasol i chi.

Darllenwch pa barth a atebodd

Mae ateb sy’n cario NXDOMAIN gyda SOA’r parth preifat yn yr adran awdurdod yn ateb terfynol gan y parth hwnnw, nid methiant chwilio. Dewisodd Route 53 Resolver y parth cynnal preifat oherwydd bod ei enw’n cyfateb, yna ni chafodd gofnod o’r math a ofynnwyd, a’r ymddygiad dogfennol yw dychwelyd yr ateb negyddol yn hytrach na hanfon y cwestiwn i DNS cyhoeddus.

Mae’r dewis yn dilyn penodolrwydd. Gyda sawl gofod enw preifat sy’n gorgyffwrdd, y parth cyfatebol mwyaf penodol sy’n ennill, ac nid yw rhiant preifat ehangach yn cael ail gyfle ar enw sydd heb fod yn y parth plentyn a ddewiswyd. Mae rheolau anfon ymlaen yn ychwanegu haen arall, gan y gall rheol datryswr sy’n benodol i barth enill dros gysylltiad y parth cynnal preifat. Rhestroch y cysylltiadau a’r rheolau cyn dod i’r casgliad bod parth yn wag.

aws route53 list-hosted-zones-by-name --dns-name example.net.
aws route53 list-resource-record-sets --hosted-zone-id Z0EXAMPLEID --query "ResourceRecordSets[?Type=='A'].[Name,ResourceRecords[0].Value]"

Mae angen credlydau’r cyfrif sy’n berchen ar y parth ar y ddau orchymyn, ac mae angen ID y parth o’r cyntaf ar yr ail. Amnewidiwch ef â’ch ID eich hun; nid yw’r daliwr lle uchod yn un go iawn o fwriad.

Pam mae’r parth preifat yn ennill

Y cysylltiad sy’n gwneud y parth yn weladwy i VPC, a’r datryswr yn y VPC hwnnw sy’n ei gymhwyso. Nid oes gan barth preifat nad yw’n gysylltiedig â’r VPC y mae traffig y cleient yn dod ohono unrhyw effaith o gwbl, tra bod cysylltiad â’r VPC anghywir yn cynhyrchu ateb preifat i’r boblogaeth anghywir. Gwiriwch y rhestr gysylltiadau cyn golygu cofnodion, oherwydd gall parth fod yn gywir ac yn dal yn anweladwy.

Gofodau enw sy’n gorgyffwrdd yw’r ail ffynhonnell ddryswch. Mae parth preifat ar gyfer example.net a pharth preifat ar gyfer api.example.net ill dau’n cyfateb i ymholiad API, a’r un mwyaf penodol sy’n ateb. Mae hynny’n ddefnyddiol pan fyddwch am ofod enw mewnol cul, ac yn beryglus pan fo’r parth cul yn colli cofnod sydd gan yr un ehangach. Mae’r ystyriaethau parth cynnal preifat yn nogfennaeth Route 53 yn disgrifio’r ymddygiad cwympo a blaenoriaeth y rheolau, ac maent yn werth eu darllen cyn ychwanegu ail barth sy’n gorgyffwrdd.

Nid oes unrhyw beth o hyn yn newid y parth cyhoeddus. Mae datryswyr cyhoeddus yn dal i ateb y cofnodion cyhoeddus yn gywir, a dyna pam mae’r methiant yn edrych fel problem cleient i bawb y tu allan i’r VPC.

Dewiswch y gofod enw cyn ychwanegu cofnodion

Os mai dim ond teulu newydd o wasanaethau mewnol sydd angen enwau preifat, rhowch is-barth preifat pwrpasol iddo a gadewch y rhiant cyhoeddus yn llonydd. Mae enw fel internal.example.net na all gysgodi www.example.net, ac mae radiws effaith cofnod sy’n eisiau yn gyfyngedig i’r enwau a ddyfeisioch at y diben. Y gost yw y gall URLau a thystysgrifau presennol beidio â chyfateb i’r enw newydd.

Pan fydd defnyddwyr cyhoeddus a phreifat yn gorfod cadw’r un enw gwesteiwr, DNS golwg hollt yw’r dyluniad a gefnogir ac mae’n gofyn ichi gynnal y cofnodion ym mhob golwg yn benodol. Nid yw parth preifat eang ag un cofnod ynddo yn cadw’r dibyniaethau cyhoeddus o dan y parth hwnnw; mae’n eu disodli â pharth sydd ag un cofnod.

Rhestroch yr enwau y mae cymhwysiad yn eu galw mewn gwirionedd cyn cyfeirio poblogaeth o gleientiaid at yr olygfa breifat. Gwesteiwyr mewngofnodi, gwesteiwyr asedau statig, targedau ailgyfeirio a phenawdau API yw’r rhai sy’n torri gyntaf, ac maent fel arfer ar wasgar ar draws cofnodion sawl tîm.

Olrheiniwch lwybr y datryswr, yna’r llwybr

Dim ond os yw ei ymholiadau’n cyrraedd y datryswr sydd â’r cysylltiad y mae gliniadur yn gweld yr olygfa breifat. Nid yw golygu ffeil hosts ar weinydd y VPN yn cyhoeddi unrhyw beth i gleientiaid cysylltiedig, a bydd cleient wedi’i ffurfweddu â datryswr cyhoeddus yn dal i gael atebion cyhoeddus tra bo’r tiwnel i fyny. Cadarnhewch gyfeiriad y datryswr a gafodd y cleient, yna ailadroddwch yr ymholiad o’r cleient yn hytrach nag o’r gweinydd.

Unwaith y bydd yr enw’n datrys, profwch y llwybr i’r cyfeiriad a ddychwelwyd fel cam ar wahân, er enghraifft gyda ip route get yn erbyn y cyfeiriad a ddychwelodd yr ymholiad. Mae ateb preifat cywir heb lwybr i’r cyfeiriad yn broblem llwybro, ac mae ateb cofnod ar goll yn broblem golwg DNS; mae trin y ddau fel un mater yn cynhyrchu cywiriadau nad ydynt yn glynu. Gadewch wiriadau enw gwesteiwr TLS a thystysgrif heb eu newid, oherwydd mae cyfeiriad preifat yn newid i ble mae’r cysylltiad yn mynd ac nid oes dim yn newid ynghylch pa dystysgrif sy’n ddilys.

Gorffenwch drwy gofnodi’r parth, y cysylltiad, y datryswr a’r enwau a wiriwyd gennych yn y nodyn newid. Yna bydd y person nesaf sy’n ychwanegu cofnod yn gwybod pa ofod enw sy’n awdurdodol i’r boblogaeth gleientiaid honno.