DNS pribatuak VPC barruan funtzionatzen du baina ez VPN bidez
EC2 barruan ebazten den baina VPN bidez ebazten ez den izen pribatu bat resolver bidearen arazoa da. Irakurri hutsaren forma zona-erregistroa editatu aurretik.
Izen pribatu bat EC2 instantzia batetik ebazten da baina ez VPN bidez konektatutako ordenagailu eramangarritik, eta zona zuzen ikusten da kontsolakoan. Lehen bulkada erregistroa editatzeko da, eta hori ia inoiz ez da arazoa. Erregistroak norbaiti erantzuten dio; zure ordenagailu eramangarriari besterik ez dio erantzuten. Bi deitzaileen arteko aldea resolver zeini galdetzen dioten eta resolver horrek VPCren DNS ikuspegiraino bide onartua duen ala ez da.
Erregistroa existitzen dela frogatzen hasten naiz, eta gainerako denbora kontsultaren bidean ematen dut. Sistema bereiziak dira eta modu desberdinetan huts egiten dute.
Irakurri hutsaren forma zerbait aldatu aurretik
Hiru emaitzak hiru gauza desberdin esan nahi dute, eta kontsulta bakar batek bereizten ditu: exekutatu dig izenarentzat bezeroak benetan erabiltzen duen resolverraren aurka.
| What you see | What it usually means | First thing to check |
|---|---|---|
| SERVFAIL, or a timeout after several seconds | No path to the resolver, or the resolver cannot reach AWS | Route to the endpoint and the security policy on port 53 |
| NXDOMAIN from a resolver that did answer | The resolver replied, but the zone is not in its view | Zone association or the forwarding rule for that namespace |
| A public address for an internal name | Split DNS is not in effect for this client | Which resolver the client is configured to use |
Denbora-muga sareari buruzko adierazpena da. NXDOMAIN DNS ikuspegiari buruzko adierazpena da. Erantzun publikoa politikari buruzko adierazpena da. Denbora-muga dagoelarik zona-erregistroa editatzeak kasuko froga baliagarri bakarra botatzen du.
Zergatik VPCren plus-bi helbidea ez den urruneko resolver
CIDR plus-bi helbidea VPC barruko baliabideentzako tokiko zerbitzua da. AWSk dokumentatzen du tokiko sareetatik, edo beste VPC baten DNS zerbitzarietatik, kontsultak zuzenean helbide horretara birbidaltzea ez dela onartzen eta emaitza ezegonkorrak eman ditzakeela.
Horrek ez du esan nahi esperimentu bat inoiz funtzionatzen ez duenik. Esan nahi du portaera ez dela laguntza-script batean jar daitekeen kontratua. Onartutako norabidea Resolver endpoint sarrerako bat da: zure VPC barruko helbide pare bat, zuk kontrolatzen duzun saretik irisgarria, AWS kanpotik datozen kontsultak onartzen dituena.
Eraiki bidea garbi huts egiten duen ordenan
Hiru jauzi egon behar dira, eta bakoitzak bere huts egiteko modua du.
VPN client -> approved DNS forwarder
forwarder -> forwarding rule for internal.example
forwarding rule -> Resolver inbound endpoint addressesBirbidaltzaileak bide bat behar du endpoint helbideetara VPN bidez, eta itzulera-bideak ere funtzionatu behar du. Portu 53ko DNS arrunterako endpointak UDP eta TCP bidez erantzuten du, beraz bi protokoloak baimendu behar dira eta biek erdiko egoera-egiaztapen oro gainditu behar dute.
Gero egiaztatu DNS ikuspegia bereizita. Hosted zona pribatua berarekin lotutako VPCentzat bakarrik da ikusgai, edo nahita egindako partekatze-akordio baten bidez. Irisgarria den endpoint batek ez du berez zona pribatu bakoitza bere ebazpen-testuinguruan ebatzi egiten.
Irteerako endpoint batek aurkako norabidea zerbitzatzen du eta ez dio zure ordenagailu eramangarritik datorren kontsultari erantzungo.
Egiaztatu bi muturretatik
Galdetu bezerotik birbidaltzailearen aurka, gero birbidaltzailetik endpointaren aurka. Bezeroak huts egiten badu birbidaltzaileak arrakasta duen bitartean, tartea bi horien artean dago.
Biek huts egiten badute, begiratu endpointeko segurtasun-politika eta benetan ikusten duen iturburu-helbidea. NAT atzean dagoen birbidaltzaile batek NAT helbidea erakusten du ordenagailu eramangarriaren VPN helbidearen ordez, eta alde hori bakarrik nahikoa da kontsulta botatzeko. Biek arrakasta badute baina aplikazioak huts egiten badu oraindik, aplikazioa probatu duzunaren desberdina den resolver bat erabiltzen ari da agian.
Eduki ezazu eremu publiko eta pribatua nahita bereizita. Split DNS zuk konfiguratzen duzun politika da, ez bat-batean datuak itzultzen dituen bilaketa baten ondorioa.
Zer ez nuke egingo
Ez nuke NAT arau bat gehituko bilaketa bat funtzionarazten duena eta horri diseinu deituko.
Ez nuke urruneko bezero bakoitza plus-bi helbidera zuzenduko proba batek behin erregistro bat itzuli zuelako. Eta ez nuke endpointaren segurtasun-politika VPN igerileku osora zabalduko birbidaltzaile bakar batek sarbidea behar duenean. Erakundeak VPC barruan birbidaltzaile onartu bat martxan badu jada, irakurri diseinu hori lehenago, zuk gehitzen duzun bigarren endpointa inork dokumentatzen ez duena delako.