Λάθος DNS μέσω VPN; Ένας αυθεντικός διακομιστής μπορεί να είναι παρωχημένος

Συνδεθείτε στο VPN και ένα όνομα κεντρικού υπολογιστή επιλύεται στη χθεσινή διεύθυνση ή σε τίποτα απολύτως. Αποσυνδεθείτε και λειτουργεί ξανά. Το αντανακλαστικό είναι να κατηγορήσουμε τον επιλυτή που επέβαλε η σήραγγα, αλλά η συχνότερη αιτία είναι ένας δημοσιευμένος διακομιστής ονομάτων που σταμάτησε να λαμβάνει ενημερώσεις ζώνης. Η νέα διαδρομή απλώς έφτασε σε διαφορετική αυθεντική πηγή από εκείνη από την οποία ήρθε η αποθηκευμένη σας απάντηση.

Το σύμπτωμα αλλάζει μαζί με τον επιλυτή

Ένας αναδρομικός επιλυτής επιστρέφει ό,τι του είπε μια αυθεντική πηγή και στη συνέχεια κρατά αυτή την απάντηση για το TTL. Αν η σήραγγα επιβάλει άλλον επιλυτή ή αλλάξει τη διαδρομή ώστε ο παλιός να μην είναι πλέον προσβάσιμος, ο πελάτης ρωτά άλλη αυθεντική πηγή και παίρνει άλλη απάντηση. Ο τομέας δεν άλλαξε εκείνη τη στιγμή· άλλαξε η δική σας εικόνα του.

Γι’ αυτό το ίδιο όνομα μπορεί να λειτουργεί σε ένα γραφείο και να αποτυγχάνει από ένα ξενοδοχείο, και γι’ αυτό ο καθαρισμός μιας τοπικής προσωρινής μνήμης βοηθά μόνο μερικές φορές. Ο καθαρισμός της μνήμης στέλνει ξανά το ερώτημα στην ίδια αυθεντική πηγή.

Η δοκιμή που ξεχωρίζει είναι ένα άμεσο ερώτημα σε κάθε δημοσιευμένο διακομιστή.

Ρωτήστε κάθε αυθεντική πηγή απευθείας

Ξεκινήστε από την ανάθεση και όχι από μια λίστα που θυμάστε. Ρωτήστε τον γονέα για το σύνολο NS και μετά ρωτήστε κάθε όνομα σε αυτό το σύνολο για την εγγραφή που σας ενδιαφέρει. Δύο ερωτήματα για το ίδιο όνομα σε διαφορετικές αυθεντικές πηγές σας λένε αμέσως αν η ζώνη είναι συνεπής.

dig +short NS example.com
dig @ns1.dns.example app.example.com A
dig @ns2.dns.example app.example.com A

Κάντε το ίδιο για τις εγγραφές NS στην κορυφή της ζώνης, επειδή η ανάθεση του γονέα και το δικό της σύνολο NS της ζώνης μπορεί να διαφωνούν μετά από μια μετεγκατάσταση. Οι σειριακοί αριθμοί στο SOA είναι το επόμενο πράγμα για σύγκριση, και ένας δευτερεύων που έχει μείνει πολύ πίσω είναι πρόβλημα μεταφοράς και όχι πρόβλημα απάντησης.

Εκτελέστε αυτά τα ερωτήματα από το δίκτυο που αποτυγχάνει, όχι μόνο από το γραφείο σας.

Ξεχωρίστε τις σκόπιμες όψεις από τις χαλασμένες

Ορισμένοι τομείς απαντούν σκόπιμα διαφορετικά ανά περιοχή ή ομάδα επιλυτών, και οι ρυθμίσεις διαχωρισμένου ορίζοντα είναι κανονικές σε εταιρικά δίκτυα.

Το ζήτημα είναι αν η διαφορά είναι τεκμηριωμένη και σταθερή. Μια ακούσια όψη φαίνεται διαφορετική: μια αυθεντική πηγή έχει μια εγγραφή που οι άλλες δεν έλαβαν ποτέ, ή της λείπει μία που όλες μοιράζονται. Οι οδηγίες επιλογής και ανάπτυξης RFC 2182 αντιμετωπίζουν τη διαθεσιμότητα των αυθεντικών πηγών ως κοινή ευθύνη, και αυτό είναι το σωστό πλαίσιο εδώ. Ο πλεονασμός υπάρχει μόνο αν κάθε δημοσιευμένος διακομιστής μπορεί να απαντήσει με τα σκόπιμα δεδομένα, όχι απλώς να δεχτεί μια σύνδεση στη θύρα 53.

Ένας διακομιστής που απαντά SERVFAIL διαγιγνώσκεται ευκολότερα από έναν που απαντά με αυτοπεποίθηση και λάθος.

Μια μετεγκατάσταση αποκαλύπτει τι έκρυβε μια προσωρινή μνήμη

Κατά την αλλαγή παρόχου αλλάζουν δύο αυθεντικές τοποθεσίες: η ανάθεση του γονέα και οι δικές της εγγραφές NS της ζώνης. Και οι δύο πρέπει να ενημερωθούν, και οι δύο αποθηκεύονται για τα TTL τους. Αν ένας παλιός διακομιστής μείνει ενεργός και συνεχίσει να εξυπηρετεί την προηγούμενη ζώνη, οι πελάτες των οποίων οι επιλυτές τον ρωτούν θα συνεχίσουν να παίρνουν την παλιά απάντηση πολύ καιρό αφού η μετάβαση φάνηκε ολοκληρωμένη.

Αυτή είναι ακριβώς η κατάσταση που κρύβει μια μακρόβια προσωρινή μνήμη. Ο σταθμός εργασίας που δούλευε όλη την εβδομάδα μιλούσε με έναν επιλυτή που κρατούσε φρέσκια απάντηση από τη νέα αυθεντική πηγή, ενώ ο παλιός συνέχιζε να μοιράζει παρωχημένα δεδομένα σε όλους τους άλλους.

Η αλλαγή του επιλυτή σε ένα φορητό υπολογιστή διορθώνει αυτόν τον υπολογιστή και τίποτα άλλο.

Διορθώστε τη ζώνη, όχι τον επιλυτή

Προσδιορίστε ποιοι διακομιστές πρέπει να είναι αυθεντικοί για τη ζώνη, διορθώστε τη διαχειριζόμενη ζώνη ή την ανάθεση ώστε κάθε ένας από αυτούς να παρέχει τα σκόπιμα δεδομένα, και διατηρήστε τον πλεονασμό που σχεδιάσατε. Η διαγραφή ενός διακομιστή ονομάτων επειδή μια έξοδος VPN πήρε μια παράξενη απάντηση μειώνει τη διαθεσιμότητα και αφήνει την ασυνέπεια στη θέση της.

Στη συνέχεια εκτελέστε ξανά τα άμεσα ερωτήματα από τα δύο δίκτυα και περιμένετε να λήξει το TTL της εγγραφής που αλλάξατε.

Επιβεβαιώστε ότι η απάντηση είναι σταθερή από κάθε αυθεντική πηγή, και γράψτε τη σκόπιμη όψη στην τεκμηρίωση της ζώνης ώστε η επόμενη διαφορά να ταξινομείται εύκολα.