بازگشت‌پذیری در دسترس نیست: یک سیاست DNS، نه تونل خراب

نام داخلی حل می‌شود و همان سرور به یک نام خارجی با رد درخواست درباره بازگشت‌پذیری پاسخ می‌دهد. این ترکیب تناقض نیست. انتشار منطقه‌های خود و حل کل اینترنت دو سرویس جداگانه‌اند که یک سرور می‌تواند ارائه دهد و می‌تواند اولی را بدون دومی انجام دهد. رد را بیانیه سیاست بدانید، سپس بررسی کنید که آیا سیاست با طراحی مطابقت دارد.

رد درخواست و پایان مهلت دو پاسخ متفاوت‌اند

نام، نوع پرس‌وجو، سرور پاسخ‌دهنده، وضعیت و رکوردهای بازگشتی را ثبت کنید. هشدار بازگشت‌پذیری به‌طور خودکار پاسخ معتبری را که همراه آن آمده باطل نمی‌کند. وضعیت را پیش از تفسیر آن بنویسید. وضعیتی که یک ساعت بعد از حافظه بازسازی شود، واقعیت دیگری است.

سرآیند DNS درخواست بازگشت و نشانه‌ای از اینکه سرور آن را ارائه می‌دهد حمل می‌کند و مشخصات پروتکل این پرچم‌ها را از داده پاسخ جدا نگه می‌دارد. به همین دلیل یک پاسخ می‌تواند سودمند باشد و باز هم شکایتی حمل کند. پایان مهلت، پاسخ منفی و رد درخواست سه نتیجه متفاوت‌اند. هر یک به لایه دیگری اشاره می‌کند و تنها رد درخواست است که سرور در آن درباره سیاست به شما می‌گوید.

نخست کد وضعیت را بخوانید، سپس تصمیم بگیرید که آیا هشدار برای این پرس‌وجو اهمیت دارد. پاسخی معتبر که منطقه را نام می‌برد حتی وقتی بیت بازگشتی رد شود قابل استفاده است. رد بدون پاسخ نتیجه سیاست است، نه مسیر بسته خراب.

آنچه حل‌کننده به‌عنوان منبع شما ثبت کرد

ممکن است سرویس‌گیرنده از مجموعه نشانی‌هایی بیرون از بازه‌های بازگشتی مجاز سرور بیاید، یا ترجمه آن را شبیه دروازه نشان دهد. نشانی کارت شبکه خود سرویس‌گیرنده مدرکی درباره آنچه حل‌کننده دریافت کرده نیست. از مدیر سرور منبع مشاهده‌شده را بپرسید، نه اینکه آن را از سمت خودتان در مسیر استنتاج کنید. دو نشانی می‌توانند در هر گامی که ترجمه می‌شود متفاوت باشند.

همان نام را از سرویس‌گیرنده و از میزبان مورد اعتماد سرور بپرسید. تفاوت میان دو پاسخ همان شرط منبع است و از هر یک از پاسخ‌ها به‌تنهایی سودمندتر است.

dig +short host.corp.example
dig +short example.com

اگر استقرار برای سرویس‌گیرندگان VPN بازگشت می‌خواهد، مدیر بازه منبع مناسب را از طریق کنترل‌های خود سرور مجاز می‌کند. باز کردن بازگشت برای همه شبکه‌ها تا یک آزمون بگذرد تغییری بسیار بزرگ‌تر از چیزی است که آزموده می‌شود. بازه مجاز را کنار قاعده بنویسید، چون بازبین بعدی خواهد پرسید سیاست قرار بود به کدام منابع خدمت کند. بازه منبع بدون مالک همان راهی است که یک آزمون موقت دائمی می‌شود.

DNS تقسیم‌شده یک طراحی است، نه یک نقص

برخی استقرارها فقط دامنه‌های کاری را به حل‌کننده خصوصی می‌فرستند و بقیه را به حل‌کننده تأییدشده دیگری. این یک طراحی مسیریابی پرس‌وجو است و مدرکی بر اینکه سرور خصوصی به سیاست بازتری نیاز دارد نیست. در آن طراحی، شکست یک نام خارجی از طریق حل‌کننده خصوصی نتیجه مقصود است نه نقص. رد درخواست همان طراحی در حال کار است، نه نشانه‌ای که باید خاموش شود.

یک حل‌کننده عمومی می‌تواند گشت‌وگذار را برگرداند در حالی که نام‌های داخلی را می‌شکند یا پرس‌وجوهای خصوصی را جایی می‌فرستد که نباید بروند. رفتار مقصود را پیش از تغییر هر نشانی حل‌کننده بنویسید.

سیاست را با دو پرس‌وجو بررسی کنید

پس از اصلاح مقصود، یک نام خصوصی مجاز و یک نام خارجی را از سرویس‌گیرنده واقعی بپرسید. آنچه برمی‌گردد باید همان چیزی باشد که سیاست وعده می‌دهد، نه فقط تشخیصی آرام‌تر. سرور پاسخ‌دهنده را با هر پاسخ ثبت کنید، سپس جفت را با سیاست مقایسه کنید. مقایسه همان آزمون است و یک جست‌وجوی موفق به‌تنهایی نیست.

resolvectl query host.corp.example
resolvectl query example.com

اگر نام خصوصی کار کند و نام عمومی رد شود، سیاست همان را انجام می‌دهد که می‌گوید. اگر نام خصوصی هم شکست بخورد، مشکل در منطقه، مسیر یا مجوز منبع است و بازگشت‌پذیری حواس‌پرتی است. هر دو نتیجه سودمندند و هر یک نیمی از فرضیه‌های باقی‌مانده را کنار می‌گذارد.

رد درخواست را به‌عنوان مدرک بخوانید

رد درخواست یک پاسخ است. یعنی سرور پرس‌وجو را دریافت کرد و از انجام کار درخواستی امتناع کرد، که با بسته‌ای که هرگز نرسید متفاوت است. همان تفاوت تمام تشخیص است. آن را به‌عنوان یک پاسخ ثبت کنید، نه شکست اتصال.

همان تفاوت به شما می‌گوید کجا را ببینید: گزارش‌های سرور، سیاست دسترسی آن و منبعی که ثبت کرده است. تغییر دیوار آتش نمی‌تواند رد سیاست را درست کند و تغییر سیاست نمی‌تواند مسیر گمشده را درست کند. دو فرضیه را جدا نگه دارید تا یکی از آن‌ها مدرک داشته باشد.

نتیجه و مالک سیاست را در تیکت بنویسید تا نفر بعدی از تصمیم شروع کند نه از هشدار. بازه منبع مجاز و دو نامی را که آزمودید نام ببرید. تیکتی با این سه واقعیت را می‌توان دوباره اجرا کرد؛ تیکتی که می‌گوید "بازگشت‌پذیری خراب است" را نه.