Oibríonn DNS príobháideach sa VPC ach ní thar an VPN
Is fadhb le cosán an resolver é ainm príobháideach a réitítear in EC2 ach nach réitítear thar an VPN. Léigh cruth na teipe sula n-athraíonn tú an taifead crios.
Réitítear ainm príobháideach ó shampla EC2 ach ní ó ríomhaire glúine atá ceangailte tríd an VPN, agus breathnaíonn an crios ceart sa chonsól. Is é an chéad fhrithbheart an taifead a chur in eagar, rud nach mbíonn ina fhadhb beagnach riamh. Tá an taifead ag freagair do dhuine éigin; níl sé ag freagair do do ríomhaire glúine amháin. Is é an difríocht idir an dá ghlaoiteoir ná cén resolver a fhiafraíonn siad agus an bhfuil cosán tacaíochta ag an resolver sin isteach i radharc DNS an VPC.
Tosaím trí chruthú go bhfuil an taifead ann, ansin caithim an chuid eile den am ar chosán na ceiste. Córais ar leith iad seo agus teipeann orthu ar bhealaí difriúla.
Léigh cruth na teipe sula n-athraíonn tú rud ar bith
Ciallaíonn trí thoradh trí rud éagsúla, agus aithníonn aon cheist amháin iad: rith dig don ainm i gcoinne an resolver a úsáideann an cliant i ndáiríre.
| What you see | What it usually means | First thing to check |
|---|---|---|
| SERVFAIL, or a timeout after several seconds | No path to the resolver, or the resolver cannot reach AWS | Route to the endpoint and the security policy on port 53 |
| NXDOMAIN from a resolver that did answer | The resolver replied, but the zone is not in its view | Zone association or the forwarding rule for that namespace |
| A public address for an internal name | Split DNS is not in effect for this client | Which resolver the client is configured to use |
Is ráiteas faoin líonra é teorainn ama. Is ráiteas faoi radharc DNS é NXDOMAIN. Is ráiteas faoin bpolasaí é freagra poiblí. Má chuireann tú taifead crios in eagar agus teorainn ama ann, caitheann tú an t-aon fhianaise úsáideach sa chás.
Cén fáth nach resolver cianda é seoladh móide-a-dó an VPC
Is seirbhís áitiúil é seoladh CIDR móide-a-dó d'acmhainní taobh istigh den VPC. Déanann AWS a dhoiciméadú nach dtacaítear le ceisteanna a sheoladh ar aghaidh ó líonraí áitiúla, nó ó fhreastalaithe DNS VPC eile, go díreach chuig an seoladh sin agus go bhféadfadh torthaí éagobhsaí teacht as.
Ní chiallaíonn sé sin nach mbíonn cuma oibre ar thriail riamh. Ciallaíonn sé nach conradh é an t-iompar is féidir a chur i script deisce cabhrach. Is é an treo tacaíochta ná Resolver-endpoint isteach: péire seoladh taobh istigh de do VPC, inrochtana ón líonra a rialaíonn tú, a ghlacann le ceisteanna a thagann ón taobh amuigh de AWS.
Tóg an cosán san ord ina dteipeann sé go glan
Caithfidh trí chéim a bheith ann, agus tá a mhodh teipe féin ag gach ceann.
VPN client -> approved DNS forwarder
forwarder -> forwarding rule for internal.example
forwarding rule -> Resolver inbound endpoint addressesTeastaíonn bealach ón seoltóir chuig seoltaí an endpoint tríd an VPN, agus caithfidh an bealach ar ais oibriú freisin. I gcás gnáth-DNS ar phort 53, freagraíonn an endpoint thar UDP agus TCP, mar sin caithfear cead a thabhairt don dá phrótacal agus caithfidh an dá cheann maireachtáil trí aon iniúchadh stáit sa lár.
Ansin seiceáil radharc DNS ar leithligh. Ní bhíonn crios óstáilte príobháideach le feiceáil ach ag na VPCanna a bhfuil sé ceangailte leo, nó trí shocrú comhroinnte d'aon ghnó. Ní dhéanann endpoint inrochtana gach crios príobháideach a réiteach ann féin ina chomhthéacs réitithe.
Freastalaíonn endpoint amach ar an treo eile agus ní fhreagróidh sé ceist a thagann isteach ó do ríomhaire glúine.
Fíoraigh ón dá cheann
Cuir ceist ón gcliant i gcoinne an tseoltóra, ansin ón tseoltóir i gcoinne an endpoint. Má theipeann ar an gcliant agus an seoltóir ag éirí leis, tá an bhearna idir an dá cheann sin.
Má theipeann ar an dá cheann, féach ar an mbeartas slándála ar an endpoint agus ar an seoladh foinse a fheiceann sé i ndáiríre. Cuireann seoltóir taobh thiar de NAT seoladh NAT i láthair seachas seoladh VPN an ríomhaire ghlúine, agus is leor an difríocht sin amháin chun an cheist a scaoileadh. Má éiríonn leis an dá cheann ach teipeann ar an bhfeidhmchlár fós, b'fhéidir go n-úsáideann an feidhmchlár resolver eile seach an ceann a thriail tú.
Coinnigh na spásanna ainm poiblí agus príobháideacha ar leithligh d'aon ghnó. Is beartas é Split DNS a chumraíonn tú, ní fo-iarsma de chuardach amháin a tharlaíonn a sheolann sonraí ar ais.
Rud nach ndéanfainn
Ní chuirfinn riail NAT leis a ligfeadh d'aon chuardach amháin oibriú agus ní thabharfainn dearadh air.
Ní dhíreoinn gach cliant cianda chuig an seoladh móide-a-dó díreach toisc gur sheol tástáil amháin taifead ar ais uair amháin. Agus ní leathnóinn beartas slándála an endpoint chuig an linn VPN ar fad nuair a theastaíonn rochtain ó aon seoltóir amháin. Má tá seoltóir ceadaithe á rith ag an eagraíocht cheana féin taobh istigh den VPC, léigh an dearadh sin ar dtús, mar is é an dara endpoint a chuireann tú leis an ceann nach ndéanann aon duine a dhoiciméadú.