Rekursio ei ole käytettävissä: DNS-käytäntö, ei rikkinäinen tunneli

Sisäinen nimi ratkeaa, ja sama palvelin vastaa ulkoiseen nimeen kieltäytymisellä rekursiosta. Tämä yhdistelmä ei ole ristiriita. Omien vyöhykkeiden julkaiseminen ja koko internetin ratkaiseminen ovat kaksi erillistä palvelua, joita palvelin voi tarjota, ja se voi tehdä ensimmäisen ilman toista. Käsittele kieltäytyminen käytäntölausumana ja tarkista sitten, vastaako käytäntö suunnittelua.

Kieltäytyminen ja aikakatkaisu ovat eri vastauksia

Kirjaa nimi, kyselyn tyyppi, vastaava palvelin, tila ja palautetut tietueet. Rekursiovaroitus ei automaattisesti mitätöi sen mukana saapunutta valtuutettua vastausta. Kirjoita tila muistiin ennen kuin tulkitset sitä. Tunti myöhemmin muistista rekonstruoitu tila on eri tosiasia.

DNS-otsake kuljettaa rekursiopyynnön ja merkinnän siitä, tarjoaako palvelin sitä, ja protokollan määritys pitää nämä liput erillään vastauksen tiedoista. Siksi vastaus voi olla hyödyllinen ja silti kantaa valituksen. Aikakatkaisu, kielteinen vastaus ja kieltäytyminen ovat kolme eri tulosta. Kukin osoittaa eri kerrokseen, ja vain kieltäytyminen on palvelin, joka kertoo sinulle käytännöstä.

Lue ensin tilakoodi ja päätä sitten, onko varoitus tälle kyselylle merkityksellinen. Valtuutettu vastaus, joka nimeää vyöhykkeen, on käyttökelpoinen myös silloin, kun rekursiivinen bitti evätään. Kieltäytyminen ilman vastausta on käytännön tulos, ei rikkinäinen pakettireitti.

Mitä ratkaisin kirjasi lähteeksesi

Asiakas voi saapua palvelimen sallittujen rekursiivisten alueiden ulkopuolisesta osoitepoolista, tai käännös voi saada sen näyttämään yhdyskäytävältä. Asiakkaan oma sovittimen osoite ei ole todiste siitä, mitä ratkaisin vastaanotti. Kysy palvelimen ylläpitäjältä havaittua lähdettä sen sijaan, että päättelet sen reitin omalta puoleltasi. Kaksi osoitetta voivat erota jokaisella käännöksen tekevällä hypyllä.

Kysy sama nimi asiakkaalta ja isännältä, johon palvelin jo luottaa. Kahden vastauksen ero on lähteen ehto, ja se on hyödyllisempi kuin kumpikaan vastaus yksinään.

dig +short host.corp.example
dig +short example.com

Jos käyttöönotto haluaa rekursion VPN-asiakkaille, ylläpitäjä valtuuttaa sopivan lähdealueen palvelimen omien hallintakeinojen kautta. Rekursion avaaminen kaikille verkoille yhden testin läpäisemiseksi on paljon suurempi muutos kuin testattava. Kirjoita valtuutettu alue säännön viereen, koska seuraava arvioija kysyy, mitä lähteitä käytännön oli tarkoitus palvella. Lähdealue ilman omistajaa on tapa, jolla tilapäisestä testistä tulee pysyvä.

Jaettu DNS on suunnittelu, ei vika

Jotkin käyttöönotot lähettävät vain työverkkotunnukset yksityiselle ratkaisimelle ja kaiken muun toiselle hyväksytylle ratkaisimelle. Se on kyselyjen reitityksen suunnittelu, eikä se ole todiste siitä, että yksityinen palvelin tarvitsee väljemmän käytännön. Siinä suunnittelussa ulkoisen nimen epäonnistuminen yksityisen ratkaisimen kautta on aiottu tulos, ei vika. Kieltäytyminen on suunnittelu, joka toimii, ei tukahdutettava oire.

Julkinen ratkaisin voi palauttaa selailun samalla kun se rikkoo sisäisiä nimiä tai lähettää yksityisiä kyselyitä sinne, minne niiden ei pitäisi mennä. Kirjoita aiottu toimintatapa muistiin ennen kuin muutat mitään ratkaisimen osoitetta.

Vahvista käytäntö kahdella kyselyllä

Aiotun korjauksen jälkeen kysy sallittua yksityistä nimeä ja ulkoista nimeä todelliselta asiakkaalta. Sen, mitä palaa, pitäisi olla se, mitä käytäntö lupaa, ei vain hiljaisempi diagnostiikka. Kirjaa vastaava palvelin kunkin vastauksen yhteyteen ja vertaa sitten paria käytäntöön. Vertailu on testi, eikä yksi onnistunut haku ole.

resolvectl query host.corp.example
resolvectl query example.com

Jos yksityinen nimi toimii ja julkinen nimi evätään, käytäntö tekee niin kuin sanoo. Jos myös yksityinen nimi epäonnistuu, ongelma on vyöhykkeessä, reitissä tai lähteen valtuutuksessa, ja rekursio on harhautus. Molemmat tulokset ovat hyödyllisiä, ja kumpikin sulkee pois puolet jäljellä olevista hypoteeseista.

Lue kieltäytyminen todisteena

Kieltäytyminen on vastaus. Se tarkoittaa, että palvelin vastaanotti kyselyn ja kieltäytyi tekemästä pyydettyä työtä, mikä eroaa paketista, joka ei koskaan saapunut. Tämä ero on koko diagnoosi. Kirjaa se vastauksena, ei yhteyden katkona.

Tämä ero kertoo, minne katsoa: palvelimen lokit, sen käyttökäytäntö ja lähde, jonka se kirjasi. Palomuurin muutos ei voi korjata käytännön kieltäytymistä, eikä käytännön muutos voi korjata puuttuvaa reittiä. Pidä kaksi hypoteesia erillään, kunnes toisella niistä on todiste.

Kirjoita tulos ja käytännön omistaja tikettiin, jotta seuraava henkilö aloittaa päätöksestä eikä varoituksesta. Nimeä valtuutettu lähdealue ja ne kaksi nimeä, jotka testasit. Tiketin, jossa on nämä kolme tosiasiaa, voi ajaa uudelleen; sitä, joka sanoo "rekursio on rikki", ei voi.