Rekursioon pole saadaval: DNS-i poliitika, mitte katkine tunnel

Sisemine nimi lahendatakse ja sama server vastab välisele nimele keeldumisega rekursiooni kohta. See kombinatsioon ei ole vastuolu. Oma tsoonide avaldamine ja kogu interneti lahendamine on kaks eraldi teenust, mida server võib pakkuda, ja ta saab esimest teha ilma teiseta. Käsitle keeldumist poliitikaavaldusena ja kontrolli siis, kas poliitika vastab kavandile.

Keeldumine ja ajalõpp on erinevad vastused

Kirjuta üles nimi, päringu tüüp, vastav server, olek ja tagastatud kirjed. Rekursiooni hoiatus ei muuda automaatselt kehtetuks autoriteetset vastust, mis sellega kaasa tuli. Kirjuta olek üles enne, kui seda tõlgendad. Tund hiljem mälust rekonstrueeritud olek on teine fakt.

DNS-i päis kannab rekursioonitaotlust ja märget, kas server seda pakub, ning protokolli spetsifikatsioon hoiab neid lippe vastuseandmetest eraldi. Sellepärast võib vastus olla kasulik ja ikkagi kanda kaebust. Ajalõpp, eitav vastus ja keeldumine on kolm erinevat tulemust. Igaüks osutab eri kihile ja ainult keeldumine on server, mis räägib sulle poliitikast.

Loe kõigepealt olekukoodi, siis otsusta, kas hoiatus on selle päringu jaoks oluline. Autoriteetne vastus, mis nimetab tsooni, on kasutatav ka siis, kui rekursiivne bitt on keeldutud. Keeldumine ilma vastuseta on poliitika tulemus, mitte katkine paketitee.

Mida lahendaja sinu allikana kirjendas

Klient võib tulla aadressikogumist väljaspool serveri lubatud rekursiivseid vahemikke, või võib tõlge muuta selle lüüsina näivaks. Kliendi enda adapteri aadress ei ole tõend selle kohta, mida lahendaja vastu võttis. Küsi serveri administraatorilt täheldatud allikat, selle asemel et seda oma tee poolt tuletada. Need kaks aadressi võivad erineda igal tõlkival hüppel.

Päri sama nime kliendilt ja hostilt, mida server juba usaldab. Kahe vastuse erinevus on allika tingimus ja see on kasulikum kui kumbki vastus eraldi.

dig +short host.corp.example
dig +short example.com

Kui juurutus soovib VPN-klientidele rekursiooni, volitab administraator sobiva allikavahemiku serveri enda juhtelementide kaudu. Rekursiooni avamine igale võrgule, et üks test läbiks, on palju suurem muudatus kui testitav. Kirjuta volitatud vahemik reegli kõrvale, sest järgmine ülevaataja küsib, milliseid allikaid pidi poliitika teenindama. Omanikuta allikavahemik on viis, kuidas ajutine test muutub püsivaks.

Jagatud DNS on kavand, mitte rike

Mõned juurutused saadavad ainult töödomeenid privaatsesse lahendajasse ja kõik muu teise heakskiidetud lahendajasse. See on päringute marsruutimise kavand ja see ei ole tõend, et privaatne server vajab lõdvemat poliitikat. Selle kavandi korral on väline nimi, mis privaatse lahendaja kaudu ebaõnnestub, kavatsetud tulemus, mitte rike. Keeldumine on kavand, mis töötab, mitte summutatav sümptom.

Avalik lahendaja võib taastada sirvimise, lõhkudes samal ajal sisemisi nimesid või saates privaatseid päringuid sinna, kuhu need ei peaks minema. Kirjuta kavatsetud käitumine üles enne, kui muudad ükskõik millist lahendaja aadressi.

Kontrolli poliitikat kahe päringuga

Pärast kavatsetud parandust päri lubatud privaatset nime ja välist nime tegelikult kliendilt. See, mis tagasi tuleb, peaks olema see, mida poliitika lubab, mitte ainult vaiksem diagnostika. Kirjuta iga vastuse juurde vastav server ja võrdle siis paari poliitikaga. Võrdlus on test ja üks edukas otsing ei ole.

resolvectl query host.corp.example
resolvectl query example.com

Kui privaatne nimi töötab ja avaliku nime puhul keeldutakse, teeb poliitika seda, mida ta ütleb. Kui ka privaatne nimi ebaõnnestub, on probleem tsoonis, marsruudis või allika volituses ja rekursioon on tähelepanu kõrvalejuhtimine. Mõlemad tulemused on kasulikud ja kumbki välistab poole ülejäänud hüpoteesidest.

Loe keeldumist tõendina

Keeldumine on vastus. See tähendab, et server sai päringu ja keeldus nõutud tööd tegemast, mis erineb paketist, mis kunagi ei saabunud. See erinevus on kogu diagnoos. Logi seda vastusena, mitte ühenduvustõrkena.

See erinevus ütleb, kuhu vaadata: serveri logid, selle juurdepääsupoliitika ja allikas, mille ta kirjendas. Tulemüüri muudatus ei saa poliitika keeldumist parandada ja poliitika muudatus ei saa puuduvat marsruuti parandada. Hoia kaks hüpoteesi lahus, kuni ühel neist on tõend.

Kirjuta tulemus ja poliitika omanik piletisse, et järgmine inimene alustaks otsusest, mitte hoiatusest. Nimeta volitatud allikavahemik ja kaks nime, mida testisid. Nende kolme faktiga piletit saab uuesti käivitada; seda, mis ütleb "rekursioon on katki", ei saa.