Το τούνελ είναι ενεργό, γιατί αποτυγχάνει ακόμη το ιδιωτικό όνομα;

Όλα στη σύνδεση φαίνονται σωστά: το τούνελ είναι ενεργό και η κονσόλα δείχνει το ιδιωτικό τελικό σημείο, όμως κάθε αίτημα αποτυγχάνει στην επίλυση ονομάτων. Η φυσική κίνηση είναι να κατηγορήσουμε το τούνελ, το οποίο συνήθως αποδεικνύεται αθώο. Το ερώτημα στέλνεται σε έναν διακομιστή που δεν γνωρίζει τίποτα για την ιδιωτική ζώνη. Καμία αλλαγή δρομολόγησης δεν θα αλλάξει αυτή την απάντηση, γιατί το πρόβλημα είναι ποιος ρωτήθηκε.

Ποιος resolver έφτασε το ερώτημα;

Βρείτε τον resolver που συνδέεται με κάθε ζεύξη πριν κοιτάξετε καθόλου το τούνελ. Το Linux εκθέτει διακομιστές ανά ζεύξη μέσω της εντολής κατάστασης resolver, και το macOS δείχνει resolvers με εύρος στο αρχείο εξαγωγής της ρύθμισης DNS. Αν η απάντηση εξακολουθεί να έρχεται από τον οικιακό δρομολογητή, η ζεύξη του τούνελ δεν ερωτήθηκε ποτέ.

resolvectl status
scutil --dns | head -40
dig +short internal.example.com

Εδώ συγχέονται δύο στάδια: ένας διακομιστής που σπρώχνει μια διεύθυνση resolver και ένας πελάτης που την εγκαθιστά στη ενεργή ζεύξη. Ένα προφίλ μπορεί να περιέχει την επιλογή και ένα αρχείο καταγραφής μπορεί να δείχνει ότι φτάνει, ενώ το λειτουργικό σύστημα συνεχίζει να χρησιμοποιεί τον παλιό διακομιστή. Συγκρίνετε το αρχείο καταγραφής με ό,τι αναφέρει η ζεύξη και εμπιστευτείτε τη ζεύξη.

Χρησιμοποιήστε μια διεύθυνση στην οποία το δίκτυο σύννεφου απαντά πραγματικά

Τα δίκτυα σύννεφου συνήθως απαντούν σε ιδιωτικά ονόματα μέσω μιας δεσμευμένης διεύθυνσης μετατοπισμένης κατά δύο από τη βάση της περιοχής, οπότε ένα δίκτυο που ξεκινά στο 10.0.0.0 απαντά στο 10.0.0.2. Ορισμένοι πάροχοι δημοσιεύουν επίσης έναν τοπικό για τη ζεύξη resolver που λειτουργεί χωρίς να γνωρίζει την περιοχή, κάτι που βοηθά όταν το δίκτυο το έφτιαξε κάποιος άλλος. Ρωτήστε απευθείας τη διεύθυνση-υποψήφιο πριν την σπρώξετε σε οποιονδήποτε. Μια διεύθυνση που δεν είναι resolver μοιάζει ακριβώς με απόρριψη από τείχος προστασίας, γιατί το ερώτημα απλώς δεν παίρνει ποτέ απάντηση.

Αν το άμεσο ερώτημα απαντά από μέσα στο δίκτυο αλλά όχι μέσα από το τούνελ, ο resolver είναι εντάξει και η διαδρομή μεταξύ των δύο σημείων δεν είναι. Αυτό το αποτέλεσμα μεταφέρει την έρευνα σε διαδρομές, προώθηση και κανόνες πρόσβασης αντί για το προφίλ του πελάτη.

Ένα τούνελ δεν μεταφέρει τον χώρο ονομάτων

Τα πακέτα περνούν· τα ονόματα όχι. Πρέπει να ειπωθεί σε κάθε πλευρά ποιος χώρος ονομάτων ανήκει στην άλλη, και αυτό είναι ξεχωριστό αντικείμενο που ανήκει σε όποιον κρατά τη ζώνη. Η συνήθης μορφή είναι μια προώθηση για έναν χώρο ονομάτων, στραμμένη σε resolver προσβάσιμο μέσα από το τούνελ.

Στην πράξη κάθε κατεύθυνση χρειάζεται τον δικό της κανόνα, γιατί η πλευρά που κατέχει τη ζώνη πρέπει να στείλει το ερώτημα παραπέρα. Και οι δύο κατευθύνσεις απαιτούν η πηγή του ερωτήματος να δρομολογείται και να επιτρέπεται, και η πλευρά που απαντά πρέπει να επιστρέφει απαντήσεις μέσα από το τούνελ αντί προς το διαδίκτυο. Κρατήστε την προώθηση στενή, ώστε μόνο ο ιδιωτικός χώρος ονομάτων να εξαρτάται από τη ζεύξη. Η αποστολή κάθε ερωτήματος μέσα από αυτήν μετατρέπει μια μικρή εξάρτηση σε πλήρη διακοπή τη στιγμή που πέφτει το τούνελ.

Περπατήστε τα όρια με σειρά

Δοκιμάστε τον resolver που είναι εγκατεστημένος στην ενεργή ζεύξη, μετά ένα άμεσο ερώτημα σε αυτόν τον resolver, μετά το ίδιο ερώτημα από την απέναντι πλευρά και τέλος την εφαρμογή που χρησιμοποιεί το ίδιο όνομα. Κάθε βήμα απομονώνει ένα όριο, ώστε μια αποτυχία να σας λέει πού να κοιτάξετε αντί να ξεκινά την έρευνα από την αρχή. Μια απάντηση που λειτουργεί ενώ η εφαρμογή αποτυγχάνει δείχνει εμπιστοσύνη πιστοποιητικού ή πολιτική API αντί για DNS. Αυτές οι βλάβες είναι πραγματικές και καμία αλλαγή resolver δεν θα τις διορθώσει.

Γράψτε ποιο βήμα απέτυχε. Αυτή η μία γραμμή είναι ό,τι χρειάζεται ο επόμενος άνθρωπος, και η καταγραφή της παίρνει δέκα δευτερόλεπτα.

Κρατήστε την αλυσίδα εκεί που μπορεί να τη βρει ο επόμενος

Καταγράψτε τον resolver που σπρώχτηκε, τον κανόνα προώθησης, την επιτρεπόμενη πηγή ερωτημάτων και το τελικό σημείο που απαντά σε ένα σημείο. Όταν το ιδιωτικό όνομα αποτύχει ξανά, η καταγραφή δείχνει αν μετακινήθηκε το τούνελ, άλλαξε η διεύθυνση του resolver ή περιορίστηκε ένας κανόνας. Χωρίς αυτήν, κάθε περιστατικό ξεκινά από το μηδέν και τελειώνει με τις ίδιες τρεις εικασίες.

Κρατήστε την καταγραφή αρκετά σύντομη ώστε να μένει ακριβής: τέσσερις γραμμές, μια ημερομηνία και το όνομα όποιου κατέχει κάθε μέρος. Μια παλιά καταγραφή είναι χειρότερη από καμία, γιατί φαίνεται έγκυρη ενώ είναι λάθος.