Väärä VPN-DNS? Yksi autoritatiivinen palvelin voi olla vanhentunut

Yhdistä VPN ja yksi isäntänimi ratkeaa eiliseen osoitteeseen tai ei mihinkään. Katkaise yhteys ja se toimii taas. Refleksi on syyttää resolveria, jonka tunneli työnsi, mutta yleisempi syy on julkaistu nimipalvelin, joka lopetti vyöhykepäivitysten vastaanottamisen. Uusi polku yksinkertaisesti saavutti toisen autoritatiivisen tahon kuin sen, josta välimuistiin tallennettu vastauksesi tuli.

Oire muuttuu resolverin mukana

Rekursiivinen resolver palauttaa sen, mitä autoritatiivinen taho sille kertoi, ja pitää sitten vastausta TTL:n ajan. Jos tunneli työntää toisen resolverin tai muuttaa polun niin, ettei vanhaan enää pääse, asiakas kysyy toiselta autoritatiiviselta taholta ja saa toisen vastauksen. Verkkotunnus ei muuttunut sillä hetkellä; sinun näkymäsi siitä muuttui.

Siksi sama nimi voi toimia yhdessä toimistossa ja epäonnistua hotellista, ja siksi paikallisen välimuistin tyhjentäminen auttaa vain joskus. Välimuistin tyhjentäminen lähettää kysymyksen jälleen samalle autoritatiiviselle taholle.

Erottava testi on suora kysely jokaiseen julkaistuun palvelimeen.

Kysy jokaiselta autoritatiiviselta taholta suoraan

Aloita delegoinnista, älä muistamastasi listasta. Kysy ylemmältä taholta NS-joukko ja kysy sitten jokaiselta joukon nimeltä tarvitsemasi tietue. Kaksi kyselyä samasta nimestä eri autoritatiivisilta tahoilta kertoo heti, onko vyöhyke yhtenäinen.

dig +short NS example.com
dig @ns1.dns.example app.example.com A
dig @ns2.dns.example app.example.com A

Tee sama vyöhykkeen kärjen NS-tietueille, koska ylemmän tason delegointi ja vyöhykkeen oma NS-joukko voivat poiketa toisistaan migraation jälkeen. SOA:n sarjanumerot ovat seuraava vertailtava asia, ja kauas jälkeen jäänyt toissijainen palvelin on siirto-ongelma, ei vastausongelma.

Suorita nämä kyselyt verkosta, joka epäonnistuu, älä vain työpöydältäsi.

Erota tarkoitetut näkymät rikkinäisistä

Jotkin verkkotunnukset vastaavat tarkoituksella eri tavalla alueen tai resolveriryhmän mukaan, ja split-horizon-kokoonpanot ovat yritysverkoissa tavallisia.

Kysymys on, onko ero dokumentoitu ja vakaa. Tahaton näkymä näyttää erilaiselta: yhdellä autoritatiivisella taholla on tietue, jota muut eivät koskaan saaneet, tai siltä puuttuu tietue, jonka kaikki jakavat. RFC 2182:n valinta- ja käyttöönotto-ohje pitää autoritatiivista saatavuutta jaettuna vastuuna, ja se on tässä oikea kehys. Redundanssi on olemassa vain, jos jokainen julkaistu palvelin pystyy vastaamaan tarkoitetuilla tiedoilla, ei vain hyväksymään yhteyttä portissa 53.

Palvelin, joka vastaa SERVFAIL, on helpompi diagnosoida kuin se, joka vastaa itsevarmasti ja väärin.

Migraatio paljastaa, mitä välimuisti peitti

Palveluntarjoajan vaihdossa kaksi autoritatiivista sijaintia muuttuu: ylemmän tason delegointi ja vyöhykkeen omat NS-tietueet. Molemmat on päivitettävä, ja molemmat välimuistitetaan niiden TTL:ien ajaksi. Jos vanha palvelin jää käyntiin ja tarjoaa edelleen edellistä vyöhykettä, asiakkaat, joiden resolverit kysyvät siltä, saavat yhä vanhan vastauksen kauan sen jälkeen, kun siirto näytti valmiilta.

Juuri tämän tilan pitkäikäinen välimuisti kätkee. Koko viikon toiminut työasema keskusteli resolverin kanssa, jolla oli tuore vastaus uudelta autoritatiiviselta taholta, kun vanha jakoi edelleen vanhentuneita tietoja kaikille muille.

Resolverin vaihtaminen kannettavassa korjaa sen kannettavan eikä mitään muuta.

Korjaa vyöhyke, älä resolveria

Selvitä, mitkä palvelimet on tarkoitettu vyöhykkeen autoritatiivisiksi, korjaa hallittu vyöhyke tai delegointi niin, että jokainen niistä tarjoaa tarkoitetut tiedot, ja säilytä suunnittelemasi redundanssi. Nimipalvelimen poistaminen siksi, että yksi VPN-uloskäynti sai oudon vastauksen, vähentää saatavuutta ja jättää epäjohdonmukaisuuden paikoilleen.

Suorita sitten suorat kyselyt uudelleen molemmista verkoista ja odota muuttamasi tietueen TTL:n päättymistä.

Vahvista, että vastaus on vakaa jokaiselta autoritatiiviselta taholta, ja kirjaa tarkoitettu näkymä vyöhykkeen dokumentaatioon, jotta seuraava ero on helppo luokitella.