Bi gune, DNS zona pribatu bat: nor da erregistroen jabea?

Erregistro-zerrenda bereiziak dituzten guneek ez dute VPN bidez erreplikatzen. Aukeratu autoritate partekatua edo guneen azpidomeinu delegatuak, eta gero bideratu resolver bakoitza haiengana.

Ostalarri bat gehitzen duzu gune berdean, erabiltzaile berdeentzat ebazten da, eta bulego horiak oraindik NXDOMAIN jasotzen du. Hori ez da VPN hutsegitea eta ez da resolver hondatua; jabetza hutsune bat da zona pribatuaren barruan. Independenteki editaturiko bi erregistro-zerrenda ez dira zona bakarra bihurtzen guneek elkar iritsi daitezkeelako soilik. Konponbidea argitalpen-plan bat da, ez beste suebaki-arau bat.

Sintomak falta den jabea izendatzen du

Gune bakoitzak ziurrenik gainidazketa lokal bat, Pi-hole sarrera bat edo dnsmasq lerro bat du, norbaitek izen bat behar zenean gehitutakoa. Erregistro berdea resolver berdean bakarrik dago, beraz horiko bezero batek bere resolverari galdetzen dio eta egiazko "ez dago izen hori" erantzuna jasotzen du. Erantzun zaharkitua desberdin ikusten da: ostalarria lekuz aldatu da, gune batek bere kopia eguneratu du eta besteak oraindik helbide zaharra itzultzen du.

Bi ereduetako bat ere ez da konpontzen cachea hustuz denbora luzez. Birbidaltze-resolver baten cachea behin jasotako erantzun baten kopia da, ez izen berriak argitaratzen dituen autoritatea, beraz gaur funtzionatzen duen cacheak ez du ezer esaten biharko ostalarriaz. BIND dokumentazioak lehenengo, bigarren, errekurtsibo eta birbidaltze rolak bereizita deskribatzen ditu arrazoi beragatik.

Beraz, diseinu-galdera estu eta erantzuteko modukoa da: nork sor dezake erregistro bat, eta nola iristen da erregistro hori haren erantzun behar duen resolver bakoitzera?

A aukera: autoritate-zona bat bigarrekin

Abiarazi lehenengo bat internal.example.com rako eta utzi onartutako bigarrenei zona gune bakoitzean lortzen. Gune bakoitzaren resolver errekurtsiboak bere bigarren lokala galdetzen du, beraz erantzunak iturri autorizatutik datoz, ez cachetik, eta behin egindako aldaketa transferitu egiten da, berridatzi beharrean.

Antolaketa horrek erabaki esplizituak behar ditu, erraz atzeratzen eta garesti saihesten direnak. Nork edita dezake zona? Zein zerbitzari trebatuta daude hura transferitzeko, eta zein helbideren bidez? Zer ikusi behar dute bezeroek guneen arteko tunela erorita dagoen bitartean? Bigarren batek bere azken kopiatik erantzuten jarraitzen du, eta hori da normalean nahi duzun portaera, baina aldarrikatutako hautua izan behar du, ez ustekabe bat etenaldian.

Mugatu zona-transferentziak helbidez ezagutzen diren bigarrenetara eta erabili transakzio-sinadurak inplementazioak onartzen dituen tokietan. Transferentzia irekia zure barne-namespacearen kopia bat da portua irits dezakeen edonorentzat.

Kostua koordinazioa da: edizio-bide bat, aldaketen berrikuspen bat eta erregistro bat oker dagoenean nork txanda duen ulertzen duen adostasuna.

B aukera: azpidomeinu bat gune bakoitzeko

Delegatu green.internal.example.com gune berdeari eta yellow.internal.example.com gune horiari. Gune bakoitza bere izenen autoritatea bihurtzen da, eta guraso-zonak delegazio-erregistroak bakarrik daramatza. Fitxategi bakarraren inguruko lehia desagertzen da, eta talde lokal batek ostalarri bat gehi dezake aldaketa zentral baten zain egon gabe.

Delegazioak guraso-zonan egon behar du, gunearen zerbitzari autorizatuei seinalatzen dieten NS erregistroekin. Azpidomeinurako baldintzapeko birbidaltzea alternatiba baliodun bat da delegazio osoa praktikoa ez denean, baina resolver ezarpena da, ez argitaratutako egitatea, beraz resolver bakoitzak arau bera behar du.

Kostua mugitu egiten da, ez da desagertzen: guraso-zonak oraindik jabe bat behar du, eta gune berri bat sortzea orain bi tokietako aldaketa da, ez bat.

Egin resolver bakoitzak hautua jarrai dezan

Eman bezeroei onartutako resolverra eta bilaketa-domeinua haien konfigurazio onartuaren bidez, eta ziurtatu resolverrak baimendutako VPN bidea duela galdetu behar dion urruneko DNS zerbitzari edonorengana. Aplikazioek ere erantzun horiek itzultzen dituzten helbide pribatuetara bideak behar dituzte, izen zuzen bat biderik gabe konexio hautsia baita oraindik.

Pi-holek ebazpen lokala eskaintzen badu, idatzi zein erregistro dituen eta zein kontsulta birbidaltzen dituen. Independenteki editaturiko bi Pi-hole zerrendak oraindik ez dira erreplikatzen. Pi-hole v6-n, dnsmasq lerro pertsonalizatuak ostalariaren aldeko aukeren bidez ezartzen dira, hala nola TOML, CLI edo ingurune-aldagaiak, eta ez dira API bidez erakusten; /etc/dnsmasq.d/ fitxategiak kargatzea lehenespenez itzalita dagoen aukera bereizia da.

Ondoren probatu bi aldeetatik nonahi ikusgai egon beharko lukeen izen batekin:

$ dig +short newhost.green.internal.example.com @10.20.0.53
10.20.0.41
$ dig +short newhost.green.internal.example.com @10.30.0.53
10.20.0.41
$ dig SOA internal.example.com @10.30.0.53

SOA erantzunak esaten dizu horiko resolverrak autorizatutzat daukan bere burua, bigarren bati galdetzen dion edo soilik birbidaltzen duen. Diseinu desberdinak dira hutsegite-modu desberdinekin, eta erantzunak normalean zehazten du zein ezarri duzun benetan.

Amaitu hiru onarpen-kasurekin: gune bakoitzeko izen bat, ordubetean aldatutako erregistro bat eta guneen arteko esteka erabilgarri ez izatea. Lehenengoa soilik gainditzen duen diseinuak argitalpen-plana du paperean eta gainidazketa lokala ekoizpenean.

Erlazionatutako artikuluak