Η αναδρομή δεν είναι διαθέσιμη: πολιτική DNS, όχι σπασμένη σήραγγα

Το εσωτερικό όνομα επιλύεται, και ο ίδιος διακομιστής απαντά σε ένα εξωτερικό όνομα με άρνηση σχετικά με την αναδρομή. Αυτός ο συνδυασμός δεν είναι αντίφαση. Η δημοσίευση των δικών του ζωνών και η επίλυση ολόκληρου του διαδικτύου είναι δύο ξεχωριστές υπηρεσίες που μπορεί να προσφέρει ένας διακομιστής, και μπορεί να κάνει την πρώτη χωρίς τη δεύτερη. Αντιμετωπίστε την άρνηση ως δήλωση πολιτικής και μετά ελέγξτε αν η πολιτική ταιριάζει με τον σχεδιασμό.

Η άρνηση και το χρονικό όριο είναι διαφορετικές απαντήσεις

Καταγράψτε το όνομα, τον τύπο ερωτήματος, τον διακομιστή που απαντά, την κατάσταση και τις εγγραφές που επιστράφηκαν. Μια προειδοποίηση αναδρομής δεν ακυρώνει αυτόματα μια έγκυρη απάντηση που έφτασε μαζί της. Γράψτε την κατάσταση πριν την ερμηνεύσετε. Μια κατάσταση που ανακατασκευάζεται από τη μνήμη μια ώρα αργότερα είναι διαφορετικό γεγονός.

Η κεφαλίδα DNS μεταφέρει αίτημα για αναδρομή και ένδειξη αν ο διακομιστής την προσφέρει, και η προδιαγραφή του πρωτοκόλλου κρατά αυτές τις σημαίες χωριστά από τα δεδομένα της απάντησης. Γι’ αυτό μια απάντηση μπορεί να είναι χρήσιμη και να φέρει παράπονο. Το χρονικό όριο, η αρνητική απάντηση και η άρνηση είναι τρία διαφορετικά αποτελέσματα. Κάθε ένα δείχνει σε διαφορετικό επίπεδο, και μόνο η άρνηση είναι ο διακομιστής που σας λέει για πολιτική.

Διαβάστε πρώτα τον κωδικό κατάστασης και μετά αποφασίστε αν η προειδοποίηση έχει σημασία για αυτό το ερώτημα. Μια έγκυρη απάντηση που ονομάζει τη ζώνη είναι αξιοποιήσιμη ακόμη και όταν το bit αναδρομής απορρίπτεται. Μια άρνηση χωρίς απάντηση είναι αποτέλεσμα πολιτικής, όχι σπασμένη διαδρομή πακέτων.

Τι κατέγραψε ο επιλυτής ως πηγή σας

Ο πελάτης μπορεί να φτάνει από μια δεξαμενή διευθύνσεων έξω από τα επιτρεπόμενα εύρη αναδρομής του διακομιστή, ή μια μετάφραση μπορεί να τον κάνει να μοιάζει με πύλη. Η διεύθυνση του προσαρμογέα του πελάτη δεν είναι απόδειξη για το τι έλαβε ο επιλυτής. Ρωτήστε τον διαχειριστή του διακομιστή για την παρατηρούμενη πηγή αντί να τη συμπεράνετε από τη δική σας πλευρά της διαδρομής. Οι δύο διευθύνσεις μπορεί να διαφέρουν σε κάθε άλμα που μεταφράζει.

Ρωτήστε το ίδιο όνομα από τον πελάτη και από έναν υπολογιστή που ο διακομιστής εμπιστεύεται ήδη. Η διαφορά μεταξύ των δύο απαντήσεων είναι η συνθήκη πηγής, και είναι πιο χρήσιμη από οποιαδήποτε απάντηση μόνη της.

dig +short host.corp.example
dig +short example.com

Αν η εγκατάσταση θέλει αναδρομή για πελάτες VPN, ο διαχειριστής εξουσιοδοτεί το κατάλληλο εύρος πηγών μέσω των δικών του ελέγχων του διακομιστή. Το άνοιγμα της αναδρομής σε κάθε δίκτυο για να περάσει ένα τεστ είναι πολύ μεγαλύτερη αλλαγή από αυτή που δοκιμάζεται. Γράψτε το εξουσιοδοτημένο εύρος δίπλα στον κανόνα, γιατί ο επόμενος ελεγκτής θα ρωτήσει ποιες πηγές έπρεπε να εξυπηρετεί η πολιτική. Ένα εύρος πηγών χωρίς ιδιοκτήτη είναι ο τρόπος με τον οποίο ένα προσωρινό τεστ γίνεται μόνιμο.

Το διαχωρισμένο DNS είναι σχεδιασμός, όχι βλάβη

Κάποιες εγκαταστάσεις στέλνουν μόνο τους τομείς εργασίας στον ιδιωτικό επιλυτή και όλα τα άλλα σε άλλον εγκεκριμένο επιλυτή. Αυτός είναι σχεδιασμός δρομολόγησης ερωτημάτων, και δεν είναι απόδειξη ότι ο ιδιωτικός διακομιστής χρειάζεται χαλαρότερη πολιτική. Σε αυτόν τον σχεδιασμό, ένα εξωτερικό όνομα που αποτυγχάνει μέσω του ιδιωτικού επιλυτή είναι το σκόπιμο αποτέλεσμα και όχι βλάβη. Η άρνηση είναι ο σχεδιασμός που λειτουργεί, όχι σύμπτωμα προς καταστολή.

Ένας δημόσιος επιλυτής μπορεί να επαναφέρει την περιήγηση ενώ σπάει εσωτερικά ονόματα ή στέλνει ιδιωτικά ερωτήματα εκεί που δεν πρέπει να πάνε. Γράψτε τη σκόπιμη συμπεριφορά πριν αλλάξετε οποιαδήποτε διεύθυνση επιλυτή.

Επαληθεύστε την πολιτική με δύο ερωτήματα

Μετά τη σκόπιμη διόρθωση, ρωτήστε ένα επιτρεπόμενο ιδιωτικό όνομα και ένα εξωτερικό όνομα από τον πραγματικό πελάτη. Αυτό που επιστρέφει πρέπει να είναι αυτό που υπόσχεται η πολιτική, όχι απλώς μια πιο ήσυχη διάγνωση. Καταγράψτε τον διακομιστή που απαντά με κάθε απάντηση και μετά συγκρίνετε το ζεύγος με την πολιτική. Η σύγκριση είναι το τεστ, και μία επιτυχημένη αναζήτηση δεν είναι.

resolvectl query host.corp.example
resolvectl query example.com

Αν το ιδιωτικό όνομα λειτουργεί και το δημόσιο απορρίπτεται, η πολιτική κάνει αυτό που λέει. Αν αποτυγχάνει και το ιδιωτικό όνομα, το πρόβλημα είναι στη ζώνη, στη διαδρομή ή στην εξουσιοδότηση πηγής, και η αναδρομή είναι περισπασμός. Και τα δύο αποτελέσματα είναι χρήσιμα, και κάθε ένα αποκλείει το μισό των υπόλοιπων υποθέσεων.

Διαβάστε την άρνηση ως απόδειξη

Μια άρνηση είναι απάντηση. Σημαίνει ότι ο διακομιστής έλαβε το ερώτημα και αρνήθηκε να εκτελέσει την ζητούμενη εργασία, το οποίο διαφέρει από ένα πακέτο που δεν έφτασε ποτέ. Αυτή η διάκριση είναι όλη η διάγνωση. Καταγράψτε την ως απάντηση, όχι ως αποτυχία συνδεσιμότητας.

Αυτή η διάκριση σας λέει πού να κοιτάξετε: στα αρχεία καταγραφής του διακομιστή, στην πολιτική πρόσβασης και στην πηγή που κατέγραψε. Μια αλλαγή τείχους προστασίας δεν μπορεί να διορθώσει άρνηση πολιτικής, και μια αλλαγή πολιτικής δεν μπορεί να διορθώσει μια διαδρομή που λείπει. Κρατήστε τις δύο υποθέσεις χωριστά μέχρι μία από αυτές να έχει απόδειξη.

Γράψτε το αποτέλεσμα και τον ιδιοκτήτη της πολιτικής στο δελτίο, ώστε το επόμενο άτομο να ξεκινά από την απόφαση και όχι από την προειδοποίηση. Ονομάστε το εξουσιοδοτημένο εύρος πηγών και τα δύο ονόματα που δοκιμάσατε. Ένα δελτίο με αυτά τα τρία γεγονότα μπορεί να εκτελεστεί ξανά· ένα που λέει "η αναδρομή είναι σπασμένη" δεν μπορεί.