Rekursion er ikke tilgængelig: en DNS-politik, ikke en brudt tunnel

Det interne navn opløses, og den samme server svarer på et eksternt navn med en afvisning om rekursion. Den kombination er ikke en modsætning. At publicere sine egne zoner og at opløse hele internettet er to separate tjenester, som en server kan tilbyde, og den kan gøre det første uden det andet. Behandl afvisningen som en politikerklæring, og undersøg derefter, om politikken passer til designet.

En afvisning og en timeout er forskellige svar

Notér navnet, forespørgselstypen, den svarande server, status og de returnerede poster. En rekursionsadvarsel ugyldiggør ikke automatisk et autoritativt svar, der kom med den. Skriv status ned, før du fortolker den. En status, der rekonstrueres fra hukommelsen en time senere, er en anden kendsgerning.

DNS-headeren bærer en anmodning om rekursion og en angivelse af, om serveren tilbyder den, og protokolspecifikationen holder disse flag adskilt fra svardataene. Derfor kan et svar være brugbart og alligevel bære en klage. En timeout, et negativt svar og en afvisning er tre forskellige resultater. Hvert af dem peger på et forskelligt lag, og kun afvisningen er serveren, der fortæller dig om politik.

Læs statuskoden først, og afgør derefter, om advarslen betyder noget for denne forespørgsel. Et autoritativt svar, der navngiver zonen, er brugbart, selv når det rekursive bit afvises. En afvisning uden svar er et politikresultat, ikke en brudt pakkevej.

Hvad resolveren registrerede som din kilde

Klienten kan ankomme fra en adressepulje uden for serverens tilladte rekursive intervaller, eller en oversættelse kan få den til at ligne en gateway. Klientens egen adapteradresse er ikke bevis for, hvad resolveren modtog. Spørg serverens administrator om den observerede kilde i stedet for at udlede den fra din side af vejen. De to adresser kan afvige ved hvert hop, der oversætter.

Forespørg det samme navn fra klienten og fra en vært, som serveren allerede stoler på. Forskellen mellem de to svar er kildebetingelsen, og den er mere brugbar end hvert af svarene alene.

dig +short host.corp.example
dig +short example.com

Hvis udrulningen ønsker rekursion for VPN-klienter, autoriserer administratoren det passende kildeinterval gennem serverens egne kontroller. At åbne rekursion for alle netværk for at få en test til at bestå er en langt større ændring end den, der testes. Skriv det autoriserede interval ved siden af reglen, fordi den næste anmelder vil spørge, hvilke kilder politikken skulle betjene. Et kildeinterval uden ejer er måden, hvorpå en midlertidig test bliver permanent.

Opdelt DNS er et design, ikke en fejl

Nogle udrulninger sender kun arbejdsdomæner til den private resolver og alt andet til en anden godkendt resolver. Det er et design til forespørgselsrutning, og det er ikke bevis for, at den private server har brug for en løsere politik. Under det design er et eksternt navn, der fejler gennem den private resolver, det tilsigtede resultat og ikke en fejl. Afvisningen er designet, der virker, ikke et symptom, der skal dæmpes.

En offentlig resolver kan genoprette browsing, mens den brækker interne navne eller sender private forespørgsler et sted hen, hvor de ikke hører til. Skriv den tilsigtede adfærd ned, før du ændrer nogen resolveradresse.

Bekræft politikken med to forespørgsler

Efter den tilsigtede rettelse skal du forespørge et tilladt privat navn og et eksternt navn fra den faktiske klient. Det, der kommer tilbage, bør være det, politikken lover, ikke bare en mere stille diagnostik. Notér den svarande server ved hvert svar, og sammenlign derefter parret med politikken. Sammenligningen er testen, og et enkelt vellykket opslag er det ikke.

resolvectl query host.corp.example
resolvectl query example.com

Hvis det private navn virker, og det offentlige navn afvises, gør politikken, hvad den siger. Hvis det private navn også fejler, er problemet zonen, ruten eller kildeautorisationen, og rekursion er en afledning. Begge udfald er brugbare, og hvert af dem udelukker halvdelen af de resterende hypoteser.

Læs afvisningen som bevis

En afvisning er et svar. Det betyder, at serveren modtog forespørgslen og afslog at udføre det ønskede arbejde, hvilket er forskelligt fra en pakke, der aldrig ankom. Den forskel er hele diagnosen. Log den som et svar og ikke som en forbindelsesfejl.

Den forskel fortæller dig, hvor du skal kigge: serverens logfiler, dens adgangspolitik og den kilde, den registrerede. En firewallændring kan ikke rette en politikafvisning, og en politikændring kan ikke rette en manglende rute. Hold de to hypoteser adskilt, indtil en af dem har bevis.

Skriv udfaldet og politikkens ejer i billetten, så den næste person starter fra beslutningen i stedet for advarslen. Nævn det autoriserede kildeinterval og de to navne, du testede. En billet med de tre fakta kan køres igen; en, der siger "rekursion er brudt", kan ikke.