A recursión non está dispoñible: unha política de DNS, non un túnel roto

O nome interno resólvese, e o mesmo servidor responde a un nome externo cunha denegación sobre a recursión. Esa combinación non é unha contradición. Publicar as súas propias zonas e resolver todo internet son dous servizos separados que un servidor pode ofrecer, e pode facer o primeiro sen o segundo. Trata a denegación como unha declaración de política e despois comproba se a política coincide co deseño.

Unha denegación e un tempo de espera son respostas distintas

Anota o nome, o tipo de consulta, o servidor que responde, o estado e os rexistros devoltos. Un aviso de recursión non invalida automaticamente unha resposta autoritativa que chegou con el. Escribe o estado antes de interpretalo. Un estado reconstruído de memoria unha hora despois é un feito distinto.

A cabeceira DNS leva unha petición de recursión e unha indicación de se o servidor a ofrece, e a especificación do protocolo mantén eses indicadores separados dos datos da resposta. Por iso unha resposta pode ser útil e aínda así levar unha queixa. Un tempo de espera, unha resposta negativa e unha denegación son tres resultados diferentes. Cada un apunta a unha capa distinta, e só a denegación é o servidor dicíndoche algo sobre a política.

Le primeiro o código de estado e despois decide se o aviso importa para esta consulta. Unha resposta autoritativa que nomea a zona é utilizábel mesmo cando se denega o bit recursivo. Unha denegación sen resposta é un resultado de política, non unha ruta de paquetes rota.

Que rexistrou o resolutor como a túa orixe

O cliente pode chegar desde un conxunto de enderezos fóra dos rangos recursivos permitidos do servidor, ou unha tradución pode facelo parecer unha pasarela. O enderezo do propio adaptador do cliente non é proba do que recibiu o resolutor. Pide ao administrador do servidor a orixe observada en lugar de inferila desde o teu lado do camiño. Os dous enderezos poden diferir en cada salto que traduce.

Consulta o mesmo nome desde o cliente e desde un equipo no que o servidor xa confía. A diferenza entre as dúas respostas é a condición de orixe, e é máis útil que calquera das respostas por separado.

dig +short host.corp.example
dig +short example.com

Se o despregamento quere recursión para clientes de VPN, o administrador autoriza o rango de orixe axeitado mediante os propios controis do servidor. Abrir a recursión a todas as redes para que pase unha proba é un cambio moito maior que o que se está a probar. Escribe o rango autorizado xunto á regra, porque o seguinte revisor preguntará a que orixes debía servir a política. Un rango de orixe sen propietario é a forma en que unha proba temporal se volve permanente.

O DNS dividido é un deseño, non unha falla

Algúns despregamentos envían só os dominios de traballo ao resolutor privado e todo o demais a outro resolutor aprobado. Iso é un deseño de encamiñamento de consultas, e non é proba de que o servidor privado necesite unha política máis laxa. Con ese deseño, un nome externo que falla a través do resolutor privado é o resultado previsto e non unha falla. A denegación é o deseño funcionando, non un síntoma que haxa que silenciar.

Un resolutor público pode restaurar a navegación mentres rompe nomes internos ou envía consultas privadas onde non deberían ir. Escribe o comportamento previsto antes de cambiar calquera enderezo de resolutor.

Verifica a política con dúas consultas

Tras a corrección prevista, consulta un nome privado permitido e un nome externo desde o cliente real. O que volva debería ser o que promete a política, non só un diagnóstico máis silencioso. Anota o servidor que responde con cada resposta e despois compara a parella coa política. A comparación é a proba, e unha soa busca exitosa non o é.

resolvectl query host.corp.example
resolvectl query example.com

Se o nome privado funciona e o nome público é denegado, a política fai o que di. Se o nome privado tamén falla, o problema é a zona, a ruta ou a autorización de orixe, e a recursión é unha distracción. Ambos os resultados son útiles, e cada un descarta a metade das hipóteses restantes.

Le a denegación como evidencia

Unha denegación é unha resposta. Significa que o servidor recibiu a consulta e negouse a facer o traballo solicitado, o cal é distinto dun paquete que nunca chegou. Esa distinción é todo o diagnóstico. Rexístrea como unha resposta e non como un fallo de conectividade.

Esa distinción diche onde mirar: os rexistros do servidor, a súa política de acceso e a orixe que rexistrou. Un cambio de devasadoiro non pode arranxar unha denegación de política, e un cambio de política non pode arranxar unha ruta que falta. Mantén as dúas hipóteses separadas ata que unha teña evidencia.

Escribe o resultado e o propietario da política no ticket, para que a seguinte persoa comece pola decisión e non polo aviso. Nomea o rango de orixe autorizado e os dous nomes que probaches. Un ticket con eses tres feitos pódese volver executar; un que diga "a recursión está rota", non.