DNS στον φάρο του Nebula: ποιος μπορεί να ρωτήσει ποιες εγγραφές;
Ο προαιρετικός ακροατής απαντά από δεδομένα κόμβων που κρατά ο φάρος. Τα ερωτήματα εγγραφών A και TXT διαφέρουν σε προσβασιμότητα και κοινό, γι' αυτό δέστε τον σκόπιμα.
Ο ρόλος του φάρου στο Nebula κάνει πολλή δουλειά που οι άνθρωποι θεωρούν αυτόματη, και το να απαντά DNS δεν είναι μία από αυτές. Η εξυπηρέτηση ονομάτων είναι ένας προαιρετικός ακροατής που ξεκινά απενεργοποιημένος, γι' αυτό ένας κόμβος που επιλύει καλά μέσα στο overlay μπορεί να μην έχει καθόλου τρόπο να επιλύσει το φορητό ενός συναδέλφου. Πριν το ενεργοποιήσετε, αποφασίστε ποιος πρέπει να το φτάνει και ποιους τύπους εγγραφών δέχεστε να απαντάτε, γιατί αυτές οι δύο απαντήσεις διαφέρουν.
Ο ακροατής είναι προαιρετικός και απενεργοποιημένος από προεπιλογή
Η ανακάλυψη και το DNS είναι ξεχωριστές υπηρεσίες. Ο φάρος βοηθά τους peers να βρίσκουν ο ένας τον άλλον και επιπλέον μπορεί να απαντά ερωτήματα ονομάτων για κόμβους που γνωρίζει, αλλά αυτό το δεύτερο μέρος πρέπει να ενεργοποιηθεί ρητά στη διαμόρφωση.
Αποφασίστε ποιες διεπαφές και ποια δίκτυα πρέπει να φτάνουν τον ακροατή πριν ενεργοποιήσετε οτιδήποτε. Μια υπηρεσία DNS που απαντά σε μια διεπαφή που δεν είχατε σκοπό γίνεται μια μικρή διαρροή πληροφοριών χωρίς καμία καταγραφή που διαβάζει κανείς. Η απόφαση είναι πολύ φθηνότερη τώρα παρά να περιοριστεί αργότερα, αφού κάτι εξαρτηθεί από τη λάθος απάντηση. Δύο γραμμές διαμόρφωσης δικαιολογούνται ευκολότερα από ένα σημείωμα περιστατικού σε έξι μήνες.
Οι εγγραφές A και TXT δεν μοιράζονται κοινό
Αυτοί οι δύο τύποι εγγραφών απαντώνται υπό διαφορετικές συνθήκες, και το να τους αντιμετωπίζετε ως μία υπηρεσία είναι το λάθος που υπάρχει για να αποτρέψει αυτό το άρθρο.
| Query | What it returns | Who can reach it |
|---|---|---|
| A record for a host name | That host Nebula IP | Any host that can reach the listener, overlay or not |
| TXT for a host IP | Certificate information | Only over the Nebula network |
Αυτή η ασυμμετρία είναι σκόπιμη και όχι παράλειψη. Μια αντιστοίχιση ονόματος σε διεύθυνση έχει μικρή αξία για έναν εξωτερικό, ενώ τα μεταδεδομένα πιστοποιητικού περιγράφουν τις ταυτότητες στο overlay σας. Μη μεταφέρετε μια υπόθεση από τη μία γραμμή στην άλλη μόνο επειδή η ίδια διεργασία απαντά και στις δύο.
Απαντά μόνο για τους δικούς του κόμβους ο φάρος
Αυτός δεν είναι γενικός resolver για το γραφείο σας, το VPC του cloud ή το δημόσιο διαδίκτυο. Ο φάρος απαντά από πληροφορίες κόμβων που του δόθηκαν, γι' αυτό η λειτουργία ζει σε κόμβους φάρου και όχι σε κάθε peer.
Όταν ένα όνομα αποτυγχάνει χωρίς σχέση με το overlay, βρείτε τη ζώνη και τον resolver που πραγματικά το κατέχουν. Η ανάμειξη ενός resolver overlay στη γενική διαμόρφωση DNS ενός κόμβου παράγει αποτυχίες που φαίνονται τυχαίες, γιατί μερικά ονόματα επιλύονται και άλλα δεν τα απαντά τίποτα.
Προσέξτε επίσης το σημείο εκκίνησης bootstrap. Ένα όνομα κόμβου που χρησιμοποιείται για να φτάσετε τον πρώτο φάρο πρέπει να επιλυθεί μέσω συνηθισμένης διαδρομής πριν η ανακάλυψη μπορέσει να βασιστεί σε αυτό, οπότε ένα πρόβλημα κότας και αυγού εδώ μοιάζει ακριβώς με χαλασμένο overlay. Αναφέρεται μάλιστα με τον ίδιο τρόπο: ένας peer που δεν ανεβαίνει ποτέ και κανένας προφανής λόγος. Ελέγξτε την επίλυση ονομάτων πριν αγγίξετε πιστοποιητικά, γιατί αυτή η σειρά πιάνει όσους ξεκίνησαν από το δυσκολότερο μισό.
Ελέγξτε τη διεύθυνση δέσμευσης και μετά δοκιμάστε από έξω
lighthouse.dns.host και lighthouse.dns.port καθορίζουν πού ακούει η προαιρετική υπηρεσία. Εξετάστε αυτές τις τιμές μαζί με το firewall του κόμβου και την πολιτική δικτύου, γιατί μια διεύθυνση δέσμευσης είναι δήλωση πρόθεσης και όχι έλεγχος ασφαλείας από μόνη της.
dig @10.42.0.1 -p 53 workstation.nebula A +short
dig @10.42.0.1 -p 53 10.42.0.7 TXT +shortΚάντε ερωτήματα από τα δίκτυα που σκοπεύετε να επιτρέψετε, όχι από τον ίδιο τον φάρο. Μια επιτυχημένη αναζήτηση στον φάρο αποδεικνύει ότι η διεργασία τρέχει και δεν σας λέει τίποτα για το τι μπορεί να ρωτήσει ένας εξωτερικός κόμβος, και αυτό είναι το ερώτημα που πραγματικά μετράει.
Εκθέστε τον σκόπιμα
Τα ονόματα και τα μεταδεδομένα πιστοποιητικών είναι χρήσιμες πληροφορίες λειτουργίας, και η χρησιμότητα κόβει και προς τις δύο κατευθύνσεις. Αποφασίστε αν ο ακροατής πρέπει να είναι μόνο για το overlay, ποιοι τύποι εγγραφών επιτρέπονται και ποιος εξετάζει τη διαμόρφωση όταν αλλάζει.
Έπειτα γράψτε το δίπλα στις ρυθμίσεις του φάρου. Ο επόμενος άνθρωπος που θα αποσφαλματώσει μια αποτυχία επίλυσης θα υποθέσει αλλιώς ότι η υπηρεσία ήταν πάντα εκεί. Θα υποθέσει επίσης ότι ήταν πάντα προσβάσιμη από όπου τυχαίνει να δοκιμάζει. Μια παράγραφος που καταγράφει τη διεύθυνση δέσμευσης, τα επιτρεπόμενα δίκτυα και τους τύπους εγγραφών γλιτώνει από εκείνον ένα απόγευμα και σας γλιτώνει ένα μήνυμα που ρωτά γιατί άλλαξε κάτι.