NXDOMAIN VPN-i kaudu ei tähenda tunnelikatkestust

On ahvatlev lugeda üht ebaõnnestunud päringut tõendiks, et tunnel varises kokku, eriti kui nimi töötas kümme minutit varem. Vastus ütleb teisiti. NXDOMAIN on lõpuleviidud DNS-tehing, milles resolver teatas, et päritud nime ei ole olemas; katkine tunnel tekitab tavaliselt vaikuse, ajalõpu või lahenduskatse vale serveri vastu. Argumendi wireshark-vaba versioon on üks päring, üks vastaja ja üks vastusekood, ja see kolmik tasub talletada enne mis tahes konfiguratsioonimuudatusi.

Mida vastus tegelikult tõestab

DNS eraldab tulemused, mille kliendid koondavad sageli üheks veaks. Olematu nimi annab NXDOMAIN-koodiga negatiivse vastuse, samas kui olemasolev nimi, millel pole küsitud tüüpi kirjet, annab tühja vastuseosaga õnnestunud vastuse. Mõlemad näivad rakendusele kasutuna ja ainult üks neist tähendab, et nimi on vale.

See erinevus otsustab, kuhu parandus kuulub. Puuduv AAAA-kirje hostil, millel on A-kirje, ei ole puuduv host, ja sertifikaadi uuesti väljastamine või tunneli ümberehitamine selle tagaajamiseks raiskab ainsa vihje, mis olemas oli. See eristus määrab ka jätku kuju: nimeprobleem parandatakse tsoonis ja tüübiprobleem parandatakse õige kirje küsimisega või sellega leppimisega, et aadressiperekonda lihtsalt ei ole.

Müüt: puuduv privaatnimi tähendab, et tunnel ebaõnnestus

Müüt püsib, sest need kaks sündmust saabuvad nii sageli koos. Klient ühendub VPN-iga, operatsioonisüsteem hoiab resolverit, mida ta juba usaldas, ja sisemist nime, mida ta nüüd vajab, küsitakse serverilt, kes pole privaatsest tsoonist kunagi kuulnud. See server vastab ausalt ja eitavalt. Tunnel kannab paketti; vastus puudutab lihtsalt nimeruumi, mida vastaja ei teeninda.

Split-horizon lahendused muudavad selle rutiinseks: sama tsooninimi eksisteerib avalikult ja sisemiselt erineva sisuga ning privaatseid kirjeid teab ainult sisemine resolver. Seega on autoriteetsena näiva negatiivse vastuse saamine tõend selle kohta, milline resolver vastas, mitte tõend liidese seisundi kohta.

Tulemuse otsustavad kaks konfiguratsiooni detaili. Tunnel peab sisemise resolveri läbi suruma või valima ja klient peab selle valiku rakendama otsitavale nimele. Ühe domeeni reegel, mis nimetab järelliidet, mis erineb pisut teie sisestatud kirjest, saadab päringu avalikule teele ja vastus on õige ning kasutu.

Küsige õiget resolverit õige nimega

Talletage vastaja enne otsuse talletamist. Päring, mis ei näita, milline server vastas, ei suuda eristada poliitikaprobleemi nimeruumiprobleemist ja kahel on omavahel seostamata parandused.

resolvectl query vpn.internal.example
resolvectl status | grep -A3 'DNS Servers'
dig +search app.intranet.example A
dig @10.8.0.1 app.intranet.example A

Kaks esimest rida näitavad, mida kohalik resolver otsustas ja keda ta küsiks. Päring +search taastoodab seda, mida rakendus teeb, kui lisab otsingujärelliite, mis on sageli tegelik päring, mitte diagnoosimisvahendisse trükitu. Viimane rida küsib sisemist serverit otse, mööda minnes kliendi poliitikast; kui see õnnestub, samal ajal kui tavaline päring ebaõnnestub, on tsoon korras ja päringute marsruutimine mitte.

Negatiivne vahemälu selgitab viivitust paranduse järel

Negatiivseid vastuseid hoitakse vahemälus disaini järgi ja RFC 2308 kirjeldab, kuidas negatiivse vahemälu eluiga tsooni autoriteedikirjest tuletatakse. Seetõttu ei taga kirje või resolverireegli parandamine kohest muutust kliendil ja vahemällu salvestatud vastust ikka tagastava päringu kordamine ei tõesta midagi uut. Värskeid tõendeid annab ainult teine vastaja, teine nimi või tühjendatud vahemälu.

Tühjendage kohalik vahemälu ja korrake seejärel sama päringut sama vastaja vastu. Süsteemides, mis kasutavad kohalikku resolveriteenust, on see üks käsk; teistel on see teenuse taaskäivitamine või platvormi utiliit, ja konkreetne vahend on vähem tähtis kui identse testi kordamine pärast seda.

Eraldage nimi teest

Kui nimi on lahendatud oodatud privaatseks aadressiks, on DNS teemana lõppenud ja järgmiseks küsimuseks saab rakenduse tee. Host, mis vastab päringutele, kuid keeldub ühendusest, on erineva probleemiga, ja resolverite edasine häälestamine pärast õiget vastust on viis, kuidas juhtum saab kolm omavahel seostamata muudatust. Võrrelge lahendatud aadressi sellega, millel teenus tegelikult kuulab, enne kui eeldate, et need kaks kattuvad.

Hoidke protokolli: päring, vastaja, kood ja lahendatud aadress. See kirje teeb ka hilisema aruande kontrollitavaks ja see on vahe diagnoosi ning loo vahel tunnelist, mis tundus aeglane.