Zergatik itzultzen duen Route 53 zona pribatu batek NXDOMAIN izen publikoentzat

Route 53 zona pribatuek izen baten erantzuna ordezten dute, erregistro publikoarekin bat egitearen ordez, eta horrek jendea ustekabean harrapatzen du une okerrenean. Gehitu barne-erregistro bat api.example.net izenarentzat example.net zona pribatu batean, lotu VPC batekin, eta guraso horren azpiko beste edozein izenek orain zona pribatutik soilik erantzuten dute. Atzo www.example.net hel zitekeen bezero batek erantzun negatiboa jasotzen du gaur. Beheko ibilbidea porrot egin zuen kontsulta hartatik abiatzen da eta erantzun zion zonarantz doa kanpora.

Hasi kontsultatik, ez kontsolatik

Erreproduzitu hutsa salatu zuen bezeroan, eta idatzi izen zehatza eta erregistro mota. Izen batek huts egin dezake A motarako, baina oraindik ebatzi daiteke AAAA motarako, eta cachean gordetako izena berriz saiatzen duen nabigatzaileak ezkutatzen du zein hautsi den. Exekutatu kontsulta birritan: behin bezeroak benetan erabiltzen duen resolveraren bidez, eta behin hura saihesten duen jarraipen batekin.

dig +short api.example.net
dig www.example.net +noall +comments +authority
resolvectl query www.example.net

Bigarren komandoa da garrantzitsua. Bere egoera-lerroak eta autoritate atalak erantzuna sortu zuen zona izendatzen dute, beraz zona pribatutik datorren erantzun negatiboa bereiz dezakezu timeout batetik, blokeatutako portu batetik edo kontsulta inoiz jaso ez zuen resolver batetik. resolvectl erakusten du zein goiko zerbitzari galdetu zen, eta askotan ez da VPNak bidali zuela suposatu zenuen resolver bera.

Jarraitutako kontsultak helbide publikoa itzultzen badu eta arruntak ez, erregistro publikoa osorik dago eta bista pribatuak erantzuten du. Konparazio bakar horrek erabakitzen du orrialde honen gainerakoaren zein erdik eragiten dizun.

Irakurri zein zonak erantzun zuen

Erantzun batek NXDOMAIN eramaten badu eta autoritate atalean zona pribatuaren SOA badu, zona haren erantzun erabakigarria da, ez bilaketa hutsa. Route 53 Resolver-ek zona ostatatu pribatua hautatu zuen izena bat zetorrelako, gero eskatutako motako erregistrorik ez zuen aurkitu, eta dokumentatutako portaera erantzun negatiboa itzultzea da, galdera DNS publikora birbidaltzearen ordez.

Hautaketak zehaztasunari jarraitzen dio. Zenbait izen-espazio pribatu gainjartzen direnean, bat datozen zona zehatzenak irabazten du, eta guraso pribatu zabalago batek ez du bigarren aukerarik hautatutako alaba-zonak ez duen izen baterako. Birbidaltze-arauak beste geruza bat gehitzen dute, domeinu zehatz baterako Resolver arau batek zona ostatatu pribatuaren lotura gaindi baitezake. Zerrendatu loturak eta arauak zona bat hutsik dagoela ondorioztatu aurretik.

aws route53 list-hosted-zones-by-name --dns-name example.net.
aws route53 list-resource-record-sets --hosted-zone-id Z0EXAMPLEID --query "ResourceRecordSets[?Type=='A'].[Name,ResourceRecords[0].Value]"

Bi komanduek zona duen kontuaren kredentzialak behar dituzte, eta bigarrenak lehenengoaren zona IDa behar du. Ordeztu zure IDarekin; goiko leku-marka ez da benetakoa, nahita.

Zergatik irabazten duen zona pribatuak

Lotura da zona VPC baterako ikusgai egiten duena, eta VPC horretako resolverak aplikatzen du. Bezeroaren trafikoa datorren VPCarekin lotuta ez dagoen zona pribatuak ez du inolako eraginik, eta VPC okerrarekin lotzeak populazio okerrarentzat erantzun pribatua sortzen du. Egiaztatu loturen zerrenda erregistroak editatu aurretik, zona zuzena izan baitaiteke eta hala ere ikusezina.

Gainjartzen diren izen-espazioak nahaste-iturri bigarrena dira. example.net rako zona pribatu bat eta api.example.net rako zona pribatu bat API kontsulta batekin bat datoz, eta zehatzenak erantzuten du. Hori erabilgarria da barne izen-espazio estu bat nahi duzunean, eta arriskutsua zona estuak zabalagoak duen erregistro bat falta duenean. Zona ostatatu pribatuen gaineko gogoetek Route 53 dokumentazioan beheranzko jauziaren portaera eta arauen lehentasuna deskribatzen dituzte, eta merezi du horiek irakurtzea bigarren zona gainjartzaile bat gehitu aurretik.

Horietako ezerk ez du zona publikoa aldatzen. Resolver publikoek erregistro publikoei zuzen erantzuten jarraitzen dute, eta horregatik VPCtik kanpoko guztientzat bezeroaren arazoa dirudi hutsak.

Aukeratu izen-espazioa erregistroak gehitu aurretik

Barne zerbitzuen familia berri batek bakarrik behar baditu izen pribatuak, eman iezaiozu azpidomeinu pribatu dedikatu bat eta utzi guraso publikoa bakean. Honelako izen batek: internal.example.net ezin dio www.example.net itzal egin, eta falta den erregistro baten eragin-erradioa horretarako asmatu zenituen izenetara mugatzen da. Kostua da lehendik dauden URLek eta ziurtagiriek agian ez dutela izen berriarekin bat egingo.

Erabiltzaile publikoek eta pribatuek host-izen bera mantendu behar dutenean, bista zatituko DNS da onartutako diseinua, eta bista bakoitzean erregistroak modu esplizituan mantentzea eskatzen du. Erregistro bakarra duen zona pribatu zabal batek ez ditu zona horren azpiko mendekotasun publikoak gordetzen; erregistro bat duen zona batekin ordezten ditu.

Zerrendatu aplikazio batek benetan deitzen dituen izenak, bezero-populazio bat bista pribatura bideratu aurretik. Saio-hasierako hostak, aktibo estatikoen hostak, birbideratze-helburuak eta API amaierako puntuak dira lehenengo hausten direnak, eta normalean hainbat talderen erregistroetan barreiatuta egoten dira.

Jarraitu resolveraren bidea, gero ibilbidea

Ordenagailu eramangarri batek bista pribatua ikusten du bere kontsultak lotura duen resolverera iristen badira soilik. VPN zerbitzarian hosts fitxategi bat editatzeak ez dio ezer argitaratzen konektatutako bezeroei, eta resolver publiko batekin konfiguratutako bezero batek erantzun publikoak jasotzen jarraituko du tunela altxatuta dagoen bitartean. Berretsi bezeroak jasotako resolver helbidea, eta gero errepikatu kontsulta bezeroarenetik, ez zerbitzaritik.

Izena ebatzitakoan, probatu itzulitako helbiderako bidea urrats bereizi gisa, adibidez ip route get erabiliz kontsultak itzulitako helbidearen aurka. Erantzun pribatu zuzena helbiderako biderik gabe bideratze-arazoa da, eta falta den erregistro baten erantzuna DNS bistaren arazoa; biak arazo bakar gisa tratatzeak ez diren konponketak sortzen ditu. Utzi zerbitzuaren TLS ostalari-izenaren eta ziurtagiriaren egiaztapenak aldatu gabe, helbide pribatu batek konexioa nora doan aldatzen baitu, eta ez ezer ziurtagiri zein den baliozkoa.

Amaitu aldaketa-oharrean zona, lotura, resolvera eta egiaztatu dituzun izenak idatzita. Orduan, erregistro bat gehituko duen hurrengo pertsonak jakingo du zein izen-espazio den autoritarioa bezero-populazio horrentzat.