NXDOMAIN oer in VPN betsjut gjin tunnelútfal

It is ferloklik om ien mislearre sykaksje te lêzen as bewiis dat de tunnel ynstoarten is, benammen as de namme tsien minuten earder noch wurke. It antwurd seit oars. NXDOMAIN is in foltôge DNS-transaksje wêryn't in oplosser ferklearre hat dat de frege namme net bestiet; in brutsen tunnel liedt meastentiids ta stilte, in time-out of in besykjen ta oplossing tsjin de ferkearde tsjinner. De ferzje fan it argumint sûnder wireshark is ien fraach, ien antwurder en ien antwurdkoade, en dy trije binne it wurdich om fêst te lizzen foardat jo de konfiguraasje feroarje.

Wat it antwurd eins bewiist

DNS skiedt útkomsten dy't kliïnten faak yn ien mislearring gearfetsje. In namme dy't net bestiet jout in negatyf antwurd mei de koade NXDOMAIN, wylst in namme dy't bestiet mar gjin record fan it frege type hat in suksesfol antwurd mei in lege antwurdseksje jout. Beide lykje foar in applikaasje as neat nuttichs, en mar ien fan beide betsjut dat de namme ferkeard is.

Dat ferskil bepaalt wêr't de reparaasje heart. In ûntbrekkend AAAA-record op in host mei in A-record is gjin ûntbrekkende host, en in sertifikaat opnij útjaan of in tunnel werbouwe om dat te efterfolgjen fergriemt de iennige oanwizing dy't beskikber wie. It ûnderskie bepaalt ek de foarm fan de ferfolchstappen: in nammeprobleem wurdt yn 'e sône reparearre, en in typeprobleem wurdt reparearre troch it juste record te freegjen of troch te akseptearjen dat de adresfamylje gewoan ûntbrekt.

De myte: in ûntbrekkende priveenamme betsjut dat de tunnel mislearre

De myte oerlibbet omdat de twa barrens sa faak tegearre komme. In klient ferbynt mei de VPN, it bestjoeringssysteem hâldt in oplosser dy't it al fertroude, en de ynterne namme dy't it no nedich hat wurdt frege oan in tsjinner dy't nea fan 'e priveesône heard hat. Dy tsjinner antwurdet earlik en negatyf. De tunnel draacht it pakket; it antwurd giet gewoan oer in nammeromte dy't de antwurder net betsjinnet.

Split-horizon-ynstellings meitsje dit gewoan: deselde sônenamme bestiet iepenbier en ynterne mei ferskillende ynhâld, en allinne de ynterne oplosser ken de priveerecords. In negatyf antwurd krijgje dat gesachhawwend liket is dêrom bewiis oer hokker oplosser antwurde, net bewiis oer de tastân fan 'e ynterface.

Twa konfiguraasjedetails beslisse de útkomst. De tunnel moat de ynterne oplosser trochjaan of kieze, en de klient moat dy kar tapasse op 'e namme dy't socht wurdt. In regel per domein dy't in efterheaksel neamt dat wat ôfwiket fan it record dat jo typten, stjoert de fraach oer it iepenbiere paad, en it antwurd sil korrekt en nutteleas wêze.

Freegje de juste oplosser mei de juste namme

Registrearje de antwurder foardat jo it oardiel registrearje. In sykaksje dy't net sjen lit hokker tsjinner antwurde, kin in beliedsprobleem net fan in nammeromteprobleem ûnderskiede, en de twa hawwe net besibbe reparaasjes.

resolvectl query vpn.internal.example
resolvectl status | grep -A3 'DNS Servers'
dig +search app.intranet.example A
dig @10.8.0.1 app.intranet.example A

De earste twa rigels litte sjen wat de lokale oplosser besletten hat en wa't er freegje soe. De +search-sykaksje reprodusearret wat in applikaasje docht as it in sykefterheaksel taheakket, wat faak de echte fraach is en net dy't yn in diagnostysk helpmiddel typt is. De lêste rigel freget de ynterne tsjinner streekrjocht, en giet om it kliïntbelied hinne; as dat slagget wylst de gewoane sykaksje mislearret, is de sône yn oarder en it rûtelearjen fan fragen net.

Negatyf caching ferklearret de fertraging nei in reparaasje

Negatyfe antwurden wurde neffens ûntwerp cachet, en RFC 2308 beskriuwt hoe't de libbensdoer fan 'e negatyfe cache út it gesachrecord fan 'e sône ôflaat wurdt. It reparearjen fan in record of in oplosserregel garandearret dêrom gjin direkte feroaring op 'e klient, en it opnij besykjen fan in sykaksje dy't hieltyd it cachte antwurd weromjout bewiist neat nijs. Allinne in oare antwurder, in oare namme of in lege cache leveret farsk bewiis.

Lêzgje de lokale cache, en werhelje dêrnei deselde fraach tsjin deselde antwurder. Op systemen dy't de lokale oplosserstsjinst brûke is dat ien opdracht; op oare is it in tsjinstwerstart of in platfoarmhelp middel, en it konkrete helpmiddel is minder wichtich as it dêrnei werheljen fan in identike test.

Skied de namme fan it paad

Sadree't de namme nei it ferwachte privee-adres oplost, is DNS as ûnderwerp dien en wurdt it applikaasjepaad de folgjende fraach. In host dy't sykaksjes beantwurdet mar in ferbining wegeret hat in oar probleem, en trochgean mei it bystellen fan oplossers nei in korrekt antwurd is hoe't in ynsidint trije net besibbe feroarings krijt. Fergelykje it oploste adres mei dat dêr't de tsjinst echt nei harket foardat jo oannimme dat de twa oerienkomme.

Bewarje it transkript: de fraach, de antwurder, de koade en it oploste adres. Dat ferslach is ek wat in letter ferslach kontrolearber makket, en it is it ferskil tusken in diagnoaze en in ferhaal oer in tunnel dy't stadich like.