Dau safle, un parth DNS preifat: pwy sy'n berchen ar y cofnodion?

Rydych chi'n ychwanegu gwesteiwr yn y safle gwyrdd, mae'n datrys i ddefnyddwyr gwyrdd, ac mae'r swyddfa felen yn dal i gael NXDOMAIN. Nid methiant VPN yw hyn ac nid datryswr wedi torri; mae'n fwlch perchnogaeth o fewn y parth preifat. Nid yw dau restr cofnodion a olygir yn annibynnol yn dod yn un parth dim ond oherwydd y gall y safleoedd gyrraedd ei gilydd. Cynllun cyhoeddi yw'r ateb, nid rheol wal dân arall.

Mae'r symptom yn enwi'r perchennog sy'n eisiau

Mae'n debyg bod gan bob safle ddirymiad lleol, cofnod Pi-hole neu linell dnsmasq a ychwanegwyd gan rywun pan oedd angen enw. Dim ond ar y datryswr gwyrdd y mae'r cofnod gwyrdd yn bodoli, felly mae cleient yn y safle melyn yn gofyn i'w ddatryswr ei hun ac yn cael "nid oes enw o'r fath" yn wir. Mae ateb hen yn edrych yn wahanol: symudodd y gwesteiwr, diweddarodd un safle ei gopi, ac mae'r llall yn dal i ddychwelyd yr hen gyfeiriad.

Nid yw'r naill batrwm na'r llall yn cael ei drwsio'n hir drwy fflysio storfa. Copi o ateb a gafwyd unwaith yw storfa datryswr anfon, nid awdurdod sy'n cyhoeddi enwau newydd, felly nid yw storfa sy'n gweithio heddiw yn dweud dim am westai yfory. Mae dogfennaeth BIND yn disgrifio rolau cynradd, eilaidd, ailadroddus ac anfon ar wahân am yr union reswm hwn.

Felly mae'r cwestiwn dylunio yn gul ac yn atebadwy: pwy gaiff greu cofnod, a sut mae'r cofnod hwnnw'n cyrraedd pob datryswr sy'n gorfod ateb drosto?

Opsiwn A: un parth awdurdodol gydag eilaidd

Rhedwch gynradd ar gyfer internal.example.com a gadewch i eilaidd a gefnogir gael y parth ym mhob safle. Mae datryswr ailadroddus pob safle yn gofyn i'w eilaidd lleol, felly daw atebion o ffynhonnell awdurdodol yn hytrach na storfa, ac mae newid a wneir unwaith yn cael ei drosglwyddo yn hytrach na'i ail-deipio.

Mae angen penderfyniadau penodol ar y trefniant hwnnw sy'n hawdd eu gohirio ac yn ddrud eu hepgor. Pwy gaiff olygu'r parth? Pa weinyddion gaiff ei drosglwyddo, a thros ba gyfeiriadau? Beth ddylai cleientiaid ei weld tra bo'r twnnel rhwng safleoedd i lawr? Mae eilaidd yn parhau i ateb o'i gopi olaf, sef ymddygiad rydych chi ei eisiau fel arfer, ond rhaid iddo fod yn ddewis a ddatganwyd yn hytrach na syndod yn ystod toriad.

Cyfyngwch drosglwyddiadau parth i'r eilaidd hysbys yn ôl cyfeiriad a defnyddiwch lofnodion trafodiad lle mae'r gweithrediad yn eu cefnogi. Mae trosglwyddiad agored yn gopi o'ch gofod enwau mewnol i unrhyw un sy'n gallu cyrraedd y porth.

Y gost yw cydlynu: un llwybr golygu, un adolygiad newid, a dealltwriaeth a rennir o bwy sy'n wyliadwrus pan fydd cofnod yn anghywir.

Opsiwn B: isbarth fesul safle

Dirprwywch green.internal.example.com i'r safle gwyrdd a yellow.internal.example.com i'r safle melyn. Daw pob safle'n awdurdodol dros ei enwau ei hun, a dim ond y cofnodion dirprwyo y mae'r parth rhiant yn eu cario. Mae'r ymryson dros un ffeil yn diflannu, a gall tîm lleol ychwanegu gwesteiwr heb aros am newid canolog.

Rhaid i'r dirprwyaeth fodoli yn y rhiant, gyda chofnodion NS sy'n pwyntio at weinyddion awdurdodol y safle. Mae anfon amodol ar gyfer yr isbarth yn ddewis amgen dilys pan fo dirprwyaeth lawn yn anymarferol, ond gosodiad datryswr yw hwnnw yn hytrach na ffaith a gyhoeddwyd, felly mae angen yr un rheol ar bob datryswr.

Mae'r gost yn symud yn hytrach nag yn diflannu: mae angen perchennog ar y parth rhiant o hyd, ac mae creu safle newydd bellach yn newid mewn dau le yn hytrach nag un.

Gwnewch i bob datryswr ddilyn y dewis

Rhowch y datryswr cymeradwy a'r parth chwilio i gleientiaid drwy eu cyfluniad a gefnogir, a gwnewch yn siŵr bod gan y datryswr lwybr VPN a ganiateir i unrhyw weinydd DNS anghysbell y mae'n gorfod holi. Mae angen llwybrau ar raglenni hefyd i'r cyfeiriadau preifat y mae'r atebion hynny'n eu dychwelyd, oherwydd mae enw cywir heb lwybr yn dal yn gysylltiad wedi torri.

Os yw Pi-hole yn darparu datrysiad lleol, nodwch pa gofnodion sy'n eiddo iddo a pha ymholiadau y mae'n eu hanfon ymlaen. Nid yw dau restr Pi-hole a olygir yn annibynnol yn dal i ailadrodd. Yn Pi-hole v6, gosodir llinellau dnsmasq arferol drwy opsiynau ochr y gwesteiwr fel TOML, CLI neu newidynnau amgylchedd ac nid ydynt yn cael eu datgelu drwy'r API; mae llwytho ffeiliau /etc/dnsmasq.d/ yn opsiwn ar wahân sydd wedi'i ddiffodd yn ôl y rhagosodiad.

Yna profwch o'r ddau ochr ag enw a ddylai fod yn weladwy ym mhob man:

$ dig +short newhost.green.internal.example.com @10.20.0.53
10.20.0.41
$ dig +short newhost.green.internal.example.com @10.30.0.53
10.20.0.41
$ dig SOA internal.example.com @10.30.0.53

Mae ateb SOA yn dweud wrthych a yw'r datryswr melyn yn credu ei fod yn awdurdodol, yn holi eilaidd, ynteu'n anfon yn unig. Mae'r rhain yn ddyluniadau gwahanol â dulliau methu gwahanol, ac mae'r ateb fel arfer yn nodi pa un a wnaethoch ei ddefnyddio mewn gwirionedd.

Gorffennwch â thri achos derbyn: un enw o bob safle, un cofnod wedi newid o fewn yr awr, a'r cyswllt rhwng safleoedd ddim ar gael. Mae gan ddyluniad sy'n pasio'r un cyntaf yn unig gynllun cyhoeddi ar bapur a dirymiad lleol mewn cynhyrchu.