Nebula majaka DNS: kes tohib milliseid kirjeid pärida?
Valikuline kuulaja vastab majaka hoitavate hostide andmete põhjal. A-kirjete ja TXT päringud erinevad kättesaadavuse ja auditooriumi poolest, seega seo see teadlikult.
Majaka roll Nebulas teeb palju tööd, mida inimesed peavad automaatseks, ja DNS-ile vastamine ei ole üks neist. Nimede teenindamine on valikuline kuulaja, mis käivitub väljalülitatuna, mistõttu host, mis overlay sees hästi lahendab, ei pruugi üldse millegagi kolleegi sülearvutit lahendada. Enne selle sisselülitamist otsusta, kes peaks sellele jõudma ja millistele kirjetüüpidele oled valmis vastama, sest need kaks vastust erinevad.
Kuulaja on valikuline ja vaikimisi väljas
Avastamine ja DNS on eraldi teenused. Majakas aitab peeridel üksteist leida ja võib lisaks vastata nimede päringutele hostide kohta, mida ta teab, kuid see teine osa tuleb konfiguratsioonis selgesõnaliselt sisse lülitada.
Otsusta, millised liidesed ja võrgud peaksid kuulajani jõudma, enne kui midagi lubad. DNS-teenus, mis vastab liidesel, mida sa ei kavatsenud, muutub väikeseks info lekkeks ilma ühegi logikirjeta, mida keegi loeb. Otsus on praegu palju odavam kui hiljem kitsendada, kui miski sõltub juba valest vastusest. Kaht konfiguratsioonirida on lihtsam põhjendada kui intsidendi märget poole aasta pärast.
A-kirjed ja TXT ei jaga auditooriumi
Neile kahele kirjetüübile vastatakse erinevatel tingimustel, ja nende käsitlemine ühe teenusena on viga, mida see artikkel ära hoida tahab.
| Query | What it returns | Who can reach it |
|---|---|---|
| A record for a host name | That host Nebula IP | Any host that can reach the listener, overlay or not |
| TXT for a host IP | Certificate information | Only over the Nebula network |
See asümmeetria on tahtlik, mitte möödalaskmine. Nime ja aadressi vastavusel on kõrvalisele väike väärtus, samas kui sertifikaadi metaandmed kirjeldavad sinu overlay identiteete. Ära kanna eeldust ühelt realt teisele ainult sellepärast, et sama protsess vastab mõlemale.
Ta vastab ainult majaka enda hostide kohta
See ei ole üldine resolver sinu kontori, pilve-VPC või avaliku interneti jaoks. Majakas vastab talle antud hostiinfo põhjal, mistõttu funktsioon elab majaka sõlmedel, mitte igal peeril.
Kui nimi ei lahene ja overlayl pole sellega mingit seost, leia tsoon ja resolver, kes seda tegelikult omavad. Overlay resolveri segamine hosti üldisesse DNS-konfiguratsiooni tekitab tõrkeid, mis näivad juhuslikena, sest mõned nimed lahenevad ja teistele ei vasta miski.
Jälgi ka bootstrapi alguspunkti. Esimese majakani jõudmiseks kasutatav hostinimi peab lahenema tavalist teed pidi, enne kui avastamine saab sellele toetuda, seega kana-ja-muna probleem näeb siin välja täpselt nagu katki läinud overlay. See isegi raporteerib samamoodi: peer, mis ei tõuse kunagi, ja mingit ilmset põhjust pole. Kontrolli nimelahendust enne, kui sertifikaate puutud, sest see järjekord püüab need, kes alustasid raskemast poolest.
Kontrolli sidumisaadressi ja testi siis väljastpoolt
lighthouse.dns.host ja lighthouse.dns.port määravad, kus valikuline teenus kuulab. Vaata need väärtused üle koos hosti tulemüüri ja võrgupoliitikaga, sest sidumisaadress on kavatsuse avaldus, mitte turvakontroll iseenesest.
dig @10.42.0.1 -p 53 workstation.nebula A +short
dig @10.42.0.1 -p 53 10.42.0.7 TXT +shortPäri võrkudest, mida kavatsed lubada, mitte majakast endast. Edukas otsing majakas tõestab, et protsess töötab, ja ei ütle sulle midagi selle kohta, mida väline host võib küsida, ning see on küsimus, mis tegelikult loeb.
Ava see tahtlikult
Nimed ja sertifikaadi metaandmed on kasulik operatiivinfo ning kasulikkus lõikab mõlemas suunas. Otsusta, kas kuulaja peaks olema ainult overlay jaoks, millised kirjetüübid lubatud on ja kes konfiguratsiooni üle vaatab, kui see muutub.
Seejärel kirjuta see majaka seadete kõrvale. Järgmine inimene, kes lahendustõrget silub, eeldab muidu, et teenus oli alati seal. Ta eeldab ka, et see oli alati kättesaadav sealt, kus tal parajasti testida tuleb. Üks lõik, mis märgib sidumisaadressi, lubatud võrgud ja kirjetüübid, säästab sellelt inimeselt ühe pärastlõuna ja säästab sinult sõnumi, mis küsib, miks miski muutus.