VPN-i DNS-raport: mida lisada, et seda saaks korrata

„DNS on katki“ on järeldus ja see pole järeldus, mille põhjal abistaja saaks midagi teha. Raporti kasulik osa on tõrke kuju: milline nimi, millise resolveri kaudu, millise vastusega. Kolm üksikasja muudavad kaebuse korratavaks ja kõiki kolme saab turvaliselt jagada, kui privaatsed osad on ümber nimetatud. Järgnev on miinimum, mida VPN-i DNS-raport vajab enne, kui keegi saab aidata.

Nime kategooria, mitte otsus

Alustage nimest endast ja liigitage see: avalik, sisemine, lühike, täielikult kvalifitseeritud või ühe kindla sufiksiga teenindatav. Sisemine nimi, mis ebaõnnestub, samal ajal kui avalikud nimed lahenevad, osutab resolveri valikule, mitte kättesaadavusele. Kui kõik nimed ebaõnnestuvad, osutab see teele resolverini, mis on teine uurimine teiste tõenditega. Kategooria kannab diagnoosi ja täpse stringi saab varjata.

Öelge, kas tõrge nõuab avatud tunnelit või tekib pärast selle katkestamist. Nimi, mis katkeb ainult VPN-i aktiivsel ajal, viitab ühendusepõhisele konfiguratsioonile, samas kui pärast katkestamist katkev viitab jääkolekule. Raportid jätavad selle tavaliselt välja ja imestavad siis, miks esimene soovitus ei aita.

Kirjutage üles resolveri tee

Selgelt valitud serverile saadetud päring ja rakenduse tavaline otsing on erinevad katsed. Öelge, milline neist tõrke tekitas, sest käsitsi päring töötavale serverile tõestab ainult seda, et server töötab. Allolevad käsud eraldavad süsteemi tee otsesest küsimusest.

resolvectl status --no-pager
getent hosts host.internal
dig +short host.internal @10.20.30.53

Olekuväljund nimetab ühendusepõhised serverid ja marsruutimisdomeenid, mis on kus otsustatakse split DNS. getent-kutse järgib sama teed nagu rakendus, sealhulgas nsswitch-i järjekorda. Otsene päring möödub mõlemast ja testib ühte serverit eraldi. Teatage, milline kolmest ebaõnnestus ja milline õnnestus, ja lugeja ei pea enam teed arvama.

Märkige kontrollitud võrdlus

Muutke ühte muutujat ja öelge, mis muutus. See, et avalikud nimed lahenevad, samal ajal kui sisemised ebaõnnestuvad, on valikuprobleem; iga nime aegumine on teeprobleem; ja privaatne nimi, mis laheneb avalikuks aadressiks, on leke valesse resolverisse. Kaks neist kolmest ei ole kuidagi seotud sellega, kas tunnel on avatud. Raport, mis väidab, et kõik päringud on katki, sisaldab tavaliselt võrdlust, mida kunagi ei tehtud.

Eraldage lahendamine kohaletoimetamisest. Kui nimi laheneb ja sait ikka ebaõnnestub, õnnestus DNS-i etapp ja raport peaks seda ütlema, sest järgmine samm on marsruut või kuulaja, mitte resolver. See üks eristus säästab tervet küsimuste ringi sagedamini kui ükski logi väljavõte.

Varjake nimeruum, säilitage seosed

Sisemisi nimesid saab asendada, kui asendused säilitavad struktuuri. Seostage iga erinev server ja sufiks püsiva sildiga ning hoidke see vastendus jagatud koopiast väljas. Iga sisemise hosti asendamine sama kohatäitega hävitab täpselt selle tõendi, mida raport vajab, sest lugeja ei näe enam, et üks sufiks lahenes ja teine mitte. Sama reegel kehtib aadresside kohta: säilitage prefiksi seosed ja muutke hosti bitte, kui poliitika seda nõuab.

Saatke kirje kontrollitud kanali kaudu ja jätke välja see, mida diagnoos kunagi ei vaja. Paroolid, privaatvõtmed ja mitteseotud ettevõtete nimed ei ole DNS-küsimuse osa. Lugeja vajab tõrke kategooriat, resolveri teed, täpset viga ja seda ühte võrdlust, mille te tegite.