DNS fan de Nebula-fjoerstoarre: wa mei wat foar records opfreegje?
De opsjonele lústerer antwurdet út hostgegevens dy't de fjoerstoarre hat. A-records en TXT-opfragen ferskille yn berikberens en publyk, dus koppelje it bewust.
De rol fan fjoerstoarre yn Nebula docht in soad wurk dat minsken as automatysk oannimme, en DNS beäntwurdzje is net ien fan dy. Nammen tsjinje is in opsjonele lústerer dy't útskeakele start, en dêrom kin in host dy't yn de overlay goed oplost hielendal neat hawwe om de laptop fan in kollega op te lossen. Foardat jo it oansette, beslute wa't it berikke moat en hokker recordtypen jo ree binne te beäntwurdzjen, want dy twa antwurden ferskille.
De lústerer is opsjoneel en standert út
Untdekking en DNS binne aparte tsjinsten. De fjoerstoarre helpt pearen elkoar te finen en kin derneist namme-opfragen beäntwurdzje oer hosts dy't er ken, mar dat twadde part moat eksplisyt yn de konfiguraasje oanset wurde.
Beslute hokker ynterfaces en netwurken de lústerer berikke moatte foardat jo eat aktivearje. In DNS-tsjinst dy't antwurdet op in ynterface dy't jo net bedoelden, wurdt in lyts ynformaasjelek sûnder ien logynskriuwing dy't immen lêst. De beslissing is no folle goedkeaper as it letter te ferneiijen, nei't eat fan it ferkearde antwurd ôfhinklik is. Twa rigels konfiguraasje binne makliker te rjochtfeardigjen as in ynsidintnotysje oer seis moanne.
A-records en TXT diele gjin publyk
Dizze twa recordtypen wurde ûnder ferskillende betingsten beäntwurde, en se as ien tsjinst behannelje is de flater dy't dit artikel foarkomme wol.
| Query | What it returns | Who can reach it |
|---|---|---|
| A record for a host name | That host Nebula IP | Any host that can reach the listener, overlay or not |
| TXT for a host IP | Certificate information | Only over the Nebula network |
Dy asymmetry is bewust en gjin fersom. In namme-nei-adres-keppeling hat foar in bûtensteander lyts wearde, wylst sertifikaatmetadata de identiteiten yn jo overlay beskriuwt. Ferpleats gjin oanname fan de iene rige nei de oare, allinnich om't itselde proses beide beäntwurdet.
Hy antwurdet allinnich oer de eigen hosts fan de fjoerstoarre
Dit is gjin algemiene resolver foar jo kantoar, jo wolk-VPC of it iepenbiere ynternet. De fjoerstoarre antwurdet út hostynformaasje dy't er krigen hat, en dêrom libbet de funksje op fjoerstoarreknooppunten ynstee fan op elk paar.
As in namme mislearret dy't neat mei de overlay te meitsjen hat, fyn dan de sône en resolver dy't him echt besitte. In overlay-resolver mingen yn de algemiene DNS-konfiguraasje fan in host jout mislearrings dy't tafallich lykje, om't guon nammen oplosse en oaren troch neat beäntwurde wurde.
Sjoch ek nei it bootstrap-startpunt. In hostnamme dy't brûkt wurdt om de earste fjoerstoarre te berikken, moat fia in gewoane route oplost wurde foardat de ûntdekking dêrop fertrouwe kin, dus in hin-en-aai-probleem hjir liket krekt op in stikken overlay. It rapportearret sels op deselde wize: in paar dat nea omheech komt en gjin dúdlike reden. Kontrolearje namme-oplossing foardat jo sertifikaten oanreitsje, want dy folchoarder fangt minsken dy't mei de dreechste helte begûn binne.
Kontrolearje it bindadres en test dan fan bûten
lighthouse.dns.host en lighthouse.dns.port beslute wêr't de opsjonele tsjinst lústert. Sjoch dy wearden nei tegearre mei de firewall fan de host en it netwurkbelied, want in bindadres is in ferklearring fan yntinsje en net in feiligensmaatregel op himsels.
dig @10.42.0.1 -p 53 workstation.nebula A +short
dig @10.42.0.1 -p 53 10.42.0.7 TXT +shortFreegje út de netwurken dy't jo tastean wolle, net fan de fjoerstoarre sels. In suksesfolle syktocht op de fjoerstoarre bewist dat it proses rint en seit jo neat oer wat in bûtensteande host freegje kin, en dat is de fraach dy't echt fan belang is.
Blied it bewust
Nammen en sertifikaatmetadata binne nuttige operasjonele ynformaasje, en nut skerpt beide kanten op. Beslute oft de lústerer allinnich foar de overlay wêze moat, hokker recordtypen tastien wurde en wa't de konfiguraasje neisjocht as dy feroaret.
Skriuw it dan del njonken de ynstellings fan de fjoerstoarre. De folgjende persoan dy't in oplossingsflater ûntbrekt, sil oars oannimme dat de tsjinst der altyd wie. Dy sil ek oannimme dat er altyd berikber wie fan wêr't er mar testet. Ien paragraaf mei it bindadres, de tastiene netwurken en de recordtypen sparret dy persoan in middei en sparret jo in berjocht dat freget wêrom't der eat feroare is.