VPN-DNS ferkeard? Ien autoritêre tsjinner kin ferâldere wêze

Ferbyn de VPN en ien hostnamme oplost nei it adres fan juster, of nei neat. Ferbynje en it wurket wer. De refleks is de oplosser de skuld jaan dy't de tunnel opliisde, mar de faker foarkommende oarsaak is in publisearre nammetsjinner dy't ophold mei it ûntfangen fan sône-updates. It nije paad berikte gewoan in oar autoritêr plak as dat dêr't dyn bewarre antwurd wei kaam.

It symptoom feroaret mei de oplosser

In rekursive oplosser jout werom wat in autoritêr plak him sei, en hâldt dat antwurd dan by de TTL. As de tunnel in oare oplosser opliist, of it paad feroaret sadat de âlde net mear berikber is, freget de klant in oar autoritêr plak en krijt in oar antwurd. It domein feroare op dat stuit net; dyn byld derfan wol.

Dêrom kin deselde namme yn it iene kantoar wurkje en fan in hotel ôf mislearje, en dêrom helpt it leegjen fan in pleatslike cache mar soms. It leegjen fan de cache stjoert de fraach wer nei itselde autoritêre plak.

De ûnderskiedende test is in direkte fraach oan elke publisearre tsjinner.

Freegje elk autoritêr plak direkt

Begjin by de delegaasje, net by in list dy'tst ûnthâldst. Freegje de âlder om de NS-set en freegje dan elk namme yn dy set om it record datst nedich hast. Twa fragen oer deselde namme by ferskate autoritêre plakken fertelle dy daliks oft de sône konsekwint is.

dig +short NS example.com
dig @ns1.dns.example app.example.com A
dig @ns2.dns.example app.example.com A

Doch itselde foar de NS-records by de top fan de sône, want de delegaasje fan de âlder en de eigen NS-set fan de sône kinne nei in migraasje ferskille. Sealenûmers op de SOA binne it folgjende om te fergelykjen, en in sekundêre tsjinner dy't fier efter is, is in oerdrachtsprobleem en gjin antwurdprobleem.

Fier dy fragen út fan it netwurk dat mislearret, net allinnich fan dyn buro.

Skied bedoelde werjeften fan brutsen

Guon domeinen antwurdzje mei opsetsin oars per regio of oplosser-groep, en split-horizon-ynstellings binne normaal yn bedriuwsnetwurken.

De fraach is oft it ferskil dokumintearre en stabyl is. In net-bedoelde werjeft sjocht der oars út: ien autoritêr plak hat in record dat de oaren nea krigen, of it mist ien dat se allegear diele. De RFC 2182-rjochtline foar seleksje en útrissing behannelet autoritêre beskikberens as in mienskiplike ferantwurdlikheid, en dat is hjir it juste ramt. Oerstalligens bestiet allinnich as elke publisearre tsjinner de bedoelde gegevens antwurdzje kin, net inkeld in ferbining op poarte 53 akseptearje.

In tsjinner dy't SERVFAIL antwurdet, is makliker te diagnostisearjen as ien dy't selsbetrouwen en ferkeard antwurdet.

In migraasje leit bleat wat in cache ferburgen hie

By in oanbiederwiksel feroarje twa autoritêre plakken: de delegaasje fan de âlder en de eigen NS-records fan de sône. Beide moatte bywurke wurde, en beide wurde foar har TTL's yn cache bewarre. As in âlde tsjinner oan bliuwt en de foarige sône betsjinnet, sille klanten waans oplossers him freegje noch lang it âlde antwurd krije nei't de oerstap foltôge like.

Dat is krekt de tastân dy't in langlibbene cache ferberget. It wurkstasjon dat de hiele wike wurke, prate mei in oplosser dy't in farsk antwurd fan it nije autoritêre plak hie, wylst de âlde oan bleau ferâldere gegevens oan alle oaren út te jaan.

It feroarjen fan de oplosser op in laptop makket dy laptop klear en fierder neat.

Meitsje de sône klear, net de oplosser

Stel fêst hokker tsjinners autoritêr foar de sône wêze moatte, korrigearje de behearde sône of de delegaasje sadat elk fan harren de bedoelde gegevens levert, en hâld de oerstalligens dy'tst plend hiest. It wiskjen fan in nammetsjinner om't ien VPN-útgong in nuver antwurd krige, ferminderet beskikberens en lit de ynkonsistinsje stean.

Fier dêrnei de direkte fragen wer út fan beide netwurken en wacht oant de TTL fan it record datst feroare hast ferrûn is.

Befêstigje dat it antwurd fan elk autoritêr plak stabyl is, en skriuw de bedoelde werjeft yn de dokumintaasje fan de sône, sadat it folgjende ferskil maklik te klassifisearjen is.