VPN પર BIND: શરતી ફોરવર્ડ કે સ્ટબ ઝોન?
VPN દ્વારા એક ખાનગી ઝોન ઉકેલવાના ત્રણ રસ્તા અને દરેક ક્યારે યોગ્ય છે: ફોરવર્ડ, સ્ટબ કે સેકન્ડરી, સાથે સ્રોત-સરનામાની ચકાસણી જે નિર્ણય લે છે.
તમારો ઓફિસ રિઝોલ્વર એક કોર્પોરેટ નામસ્થાન સિવાય બધાનો જવાબ આપે છે, અને તેને જાણતો કોર્પોરેટ DNS સર્વર VPN પાછળ છે. BIND તે એક જ ઝોનને અપસ્ટ્રીમને ત્રણ જુદી રીતે સોંપી શકે છે, અને તે અલગ રીતે નિષ્ફળ જાય છે. શરતી ફોરવર્ડ સૌથી નાની પ્રતિબદ્ધતા છે, સ્ટબ ઝોન ડેલિગેશન ડેટા રાખે છે, અને સેકન્ડરી પૂરી નકલ રાખે છે. અપસ્ટ્રીમ શું પરવાનગી આપશે અને તમારો રિઝોલ્વર શું રાખવો છે તેના આધારે પસંદ કરો, તમે પહેલું કયું સ્નિપેટ મેળવ્યું તેના આધારે નહીં.
એક નામસ્થાન માટે ત્રણ ગોઠવણો
| Type | What your resolver keeps | Upstream must | Fails when |
|---|---|---|---|
forward | a forwarder list | answer queries from your source address | upstream is down and forward only is set |
stub | the zone's NS records and addresses | answer NS queries for the zone | delegation data goes stale after an NS change |
secondary | a full copy of the zone | permit AXFR or IXFR from your source | transfer is blocked by ACL or firewall |
શરતી ફોરવર્ડ: સૌથી નાની પ્રતિબદ્ધતા
ધારો કે ઓફિસ રિઝોલ્વર 192.168.10.53 પર છે અને કોર્પોરેટ સર્વર 10.40.0.53 પર, જે મંજૂર ટનલ દ્વારા પહોંચી શકાય છે. જાહેરાત ત્રણ લીટીની છે, અને રસપ્રદ એ forward only છે, કારણ કે તે માર્ગ નહીં, નિષ્ફળતાનું વર્તન બદલે છે.
zone "corp.example" {
type forward;
forward only;
forwarders { 10.40.0.53; };
};forward only સાથે, પહોંચ વિનાનું અપસ્ટ્રીમ આ ઝોન માટે પુનરાવર્તિત ઉકેલમાં પાછા ફરવાને બદલે SERVFAIL આપે છે. ખાનગી નામસ્થાન માટે સામાન્ય રીતે આ જ જોઈએ, કારણ કે પાછા ફરવાથી ખાનગી નામો જાહેર રિઝોલ્વર પર જાય અને ઇન્ટરનેટ પરથી નકામો જવાબ પાછો આવે. BIND સંદર્ભ બંને નીતિઓનું દસ્તાવેજીકરણ કરે છે, અને તફાવત સ્નિપેટ સૂચવે તેના કરતાં વધુ મહત્વનો છે. સમાન નામ માટે પહેલેથી હાજર ઝોન બદલવાને બદલે ઝોનને હાલના કન્ફિગરેશનમાં ભેળવો.
સ્ટબ કે સેકન્ડરી: જ્યારે ડેલિગેશન મહત્વનું હોય
સ્ટબ ઝોન કોર્પોરેટ સર્વરને ઝોનના NS રેકોર્ડ પૂછે છે અને પછી અધિકૃત સર્વરોને સીધું પૂછે છે. જ્યારે અપસ્ટ્રીમ પ્રદેશ મોટો કે વિભાજિત હોય અને તમે ઇચ્છો કે તમારો રિઝોલ્વર ડેલિગેશનને અનુસરે, બધું એક સરનામે ખીલી નાખવાને બદલે, ત્યારે તેને પસંદ કરો. કિંમત એ છે કે NS ડેટા તાજો રહે તેની અને સૂચિબદ્ધ દરેક નામસર્વર તમારા રિઝોલ્વરના સ્રોત-સરનામેથી પહોંચી શકાય તેની અવલંબન.
zone "corp.example" {
type stub;
masters { 10.40.0.53; };
};
zone "corp.example" {
type secondary;
primaries { 10.40.0.53; };
file "corp.example.db";
};સેકન્ડરી સ્થાનિક ડેટામાંથી જવાબ આપે છે અને અપસ્ટ્રીમ વિક્ષેપમાંથી પસાર થાય છે, અને તેથી જ ટ્રાન્સફર અવલંબન સ્વીકારવી પડે છે. તેનો અર્થ એ પણ છે કે તમારો રિઝોલ્વર હવે એવા ઝોનની નકલ રાખે છે જે તેનો નથી, તેથી ફાઇલ પાથ, પ્રાઇમરી પરની ટ્રાન્સફર ACL અને રિફ્રેશ ટાઇમર બધા તમારી કામગીરીની સપાટીનો ભાગ બની જાય છે.
બંને વચ્ચે નિર્ણય લેતી ચકાસણી
BIND પોતાની બહાર જતી ક્વેરી બનાવે છે, તેથી પ્રશ્ન એ નથી કે લેપટોપ 10.40.0.53 સુધી પહોંચી શકે છે કે નહીં, પણ એ કે રિઝોલ્વર હોસ્ટ કોર્પોરેટ સર્વર જે સ્રોત-સરનામું જોશે ત્યાંથી પહોંચી શકે છે કે નહીં. પહેલા કર્નેલને પૂછો, પછી સર્વરને, તે ક્રમમાં.
ip route get 10.40.0.53
named-checkconf
rndc reload corp.example
dig @10.40.0.53 corp.example NS +norecurse
dig @192.168.10.53 portal.corp.exampleમાર્ગ પર UDP અને TCP ને મંજૂરી આપો: કાપેલો જવાબ TCP ફરજિયાત કરે છે, અને ફક્ત UDP ની મંજૂરી આપતી નીતિ પેકેટ લોસ જેવી વચ્ચે-વચ્ચે નિષ્ફળતા ઉત્પન્ન કરે છે. કોર્પોરેટ બાજુને તમારા રિઝોલ્વરના સ્રોત માટે સ્વીકૃતિ નિયમ અને તેની તરફ પરત માર્ગ, બંનેની જરૂર છે; તે સ્રોત રિઝોલ્વરનું રૂટ થયેલું સરનામું કે સ્પષ્ટ રીતે અનુવાદિત સરનામું હોઈ શકે છે, અને તે ભાગ્યે જ ક્લાયન્ટ પૂલનું સરનામું હોય છે. જો NS ક્વેરી નિષ્ફળ જાય, તો ફોરવર્ડ ઝોન કેવી રીતે વર્તે તે ધ્યાનમાં લીધા વિના સ્ટબ ઝોન કામ કરી શકતો નથી.
ટનલ નહીં, જવાબ ચકાસો
ઓફિસ રિઝોલ્વર દ્વારા એવા નામની ક્વેરી કરો જે તમે કદી માગ્યું નથી, અને જવાબનો authority વિભાગ જુઓ કે તે કોર્પોરેટ ઝોનમાંથી આવ્યો છે કે નહીં. કેશમાં રાખેલો જવાબ વર્તમાન માર્ગ વિશે કંઈ સાબિત કરતો નથી, અને અપસ્ટ્રીમને સીધી સફળ ક્વેરી સાબિત કરતી નથી કે તમારા રિઝોલ્વરે તે ઝોન પસંદ કર્યો છે. તે જ ક્વેરી TCP પર પુનરાવર્તિત કરો જેથી ખાતરી થાય કે માર્ગ કાપને ટકી રહે છે.
ક્લાયન્ટને ઓફિસ રિઝોલ્વર તરફ રાખો, અને DNSSEC ચકાસણી ચાલુ રાખો. સ્વતંત્ર એન્ક્રિપ્ટેડ રિઝોલ્વર સાથે ગોઠવાયેલો બ્રાઉઝર આ ગોઠવણને સંપૂર્ણ બાયપાસ કરે છે, અને અણધાર્યો જવાબ સાચો લાગે તે માટે ચકાસણી બંધ કરવી દેખાતી નિષ્ફળતાને અદૃશ્ય નિષ્ફળતા સાથે બદલે છે.
ત્રણમાંથી કયો પ્રકાર પસંદ કર્યો અને કેમ તે લખો. ઝોન નિષ્ફળ થતો જોનાર આગલી વ્યક્તિને કન્ફિગ ફાઇલ કરતાં તે વાક્યની વધુ જરૂર પડશે.