VPN પર NXDOMAIN એ ટનલ આઉટેજ નથી

એક નિષ્ફળ લુકઅપને ટનલ તૂટી પડ્યાનો પુરાવો તરીકે વાંચવું લલચાવનારું છે, ખાસ કરીને જ્યારે નામ દસ મિનિટ પહેલાં કામ કરતું હતું. જવાબ બીજું કંઈક કહે છે. NXDOMAIN પૂર્ણ થયેલી DNS ટ્રાન્ઝેક્શન છે જેમાં રિઝોલ્વરે જણાવ્યું કે પૂછાયેલું નામ અસ્તિત્વમાં નથી; તૂટેલી ટનલ સામાન્ય રીતે મૌન, ટાઈમઆઉટ અથવા ખોટા સર્વર સામે રિઝોલ્યુશનનો પ્રયાસ ઉત્પન્ન કરે છે. wireshark વગરનું આ દલીલનું સ્વરૂપ એક ક્વેરી, એક જવાબ આપનાર અને એક જવાબ કોડ છે, અને કોઈપણ કન્ફિગરેશન ફેરફાર પહેલાં આ ત્રિપુટી નોંધવા જેવી છે.

જવાબ ખરેખર શું સાબિત કરે છે

DNS એવા પરિણામોને અલગ પાડે છે જેને ક્લાયન્ટ ઘણી વાર એક જ નિષ્ફળતામાં ભેગા કરે છે. અસ્તિત્વમાં ન હોય તેવું નામ NXDOMAIN કોડ સાથે નકારાત્મક જવાબ આપે છે, જ્યારે અસ્તિત્વમાં હોય પણ માંગાયેલા પ્રકારનો રેકોર્ડ ન હોય તેવું નામ ખાલી જવાબ વિભાગ સાથે સફળ જવાબ આપે છે. બંને એપ્લિકેશન માટે નકામા લાગે છે, અને તેમાંથી ફક્ત એક જ એનો અર્થ છે કે નામ ખોટું છે.

એ ફરક નક્કી કરે છે કે સુધારો ક્યાં આવે. A રેકોર્ડ ધરાવતા હોસ્ટ પર ખૂટતો AAAA રેકોર્ડ એ ખૂટતો હોસ્ટ નથી, અને તેની પાછળ પડવા માટે સર્ટિફિકેટ ફરી બહાર પાડવું કે ટનલ ફરી બનાવવી એ ઉપલબ્ધ એકમાત્ર સુરાગનો બગાડ છે. આ ભેદ પછીના પગલાનું સ્વરૂપ પણ નક્કી કરે છે: નામકરણની સમસ્યા ઝોનમાં સુધારાય છે, અને પ્રકારની સમસ્યા યોગ્ય રેકોર્ડ માંગીને અથવા એ સ્વીકારીને સુધારાય છે કે એડ્રેસ કુટુંબ ફક્ત ગેરહાજર છે.

દંતકથા: ખાનગી નામ ખૂટે તો ટનલ નિષ્ફળ

આ દંતકથા ટકી છે કારણ કે બે ઘટનાઓ ઘણી વાર સાથે આવે છે. ક્લાયન્ટ VPN સાથે જોડાય છે, ઓપરેટિંગ સિસ્ટમ પહેલેથી જ વિશ્વાસપાત્ર રિઝોલ્વર રાખે છે, અને હવે જરૂરી આંતરિક નામ એવા સર્વરને પૂછાય છે જેણે ખાનગી ઝોન વિશે ક્યારેય સાંભળ્યું નથી. એ સર્વર પ્રામાણિકપણે અને નકારાત્મક રીતે જવાબ આપે છે. ટનલ પેકેટ વહન કરી રહી છે; જવાબ ફક્ત એવી નામ જગ્યા વિશે છે જે જવાબ આપનાર સેવા આપતું નથી.

split-horizon ગોઠવણો આને રોજિંદું બનાવે છે: એ જ ઝોન નામ જાહેરમાં અને આંતરિક રીતે અલગ સામગ્રી સાથે અસ્તિત્વમાં છે, અને ફક્ત આંતરિક રિઝોલ્વર ખાનગી રેકોર્ડ જાણે છે. તેથી સત્તાવાર દેખાતો નકારાત્મક જવાબ મેળવવો એ કયા રિઝોલ્વરે જવાબ આપ્યો તેનો પુરાવો છે, ઇન્ટરફેસની સ્થિતિનો નહીં.

બે કન્ફિગરેશન વિગતો પરિણામ નક્કી કરે છે. ટનલે આંતરિક રિઝોલ્વર દબાણ કરવો કે પસંદ કરવો પડે, અને ક્લાયન્ટે એ પસંદગી શોધાયેલા નામ પર લાગુ કરવી પડે. દરેક ડોમેન માટેનો નિયમ જે તમે ટાઇપ કરેલા રેકોર્ડ કરતાં થોડો અલગ પ્રત્યય ધરાવે છે તે ક્વેરીને જાહેર માર્ગે મોકલશે, અને જવાબ સાચો અને નકામો હશે.

યોગ્ય નામ સાથે યોગ્ય રિઝોલ્વરને પૂછો

ચુકાદો નોંધતા પહેલાં જવાબ આપનારને નોંધો. જે લુકઅપ બતાવતું નથી કે કયા સર્વરે જવાબ આપ્યો તે નીતિની સમસ્યા અને નામ જગ્યાની સમસ્યા વચ્ચે ભેદ પાડી શકતું નથી, અને બંનેના સુધારા અસંબંધિત છે.

resolvectl query vpn.internal.example
resolvectl status | grep -A3 'DNS Servers'
dig +search app.intranet.example A
dig @10.8.0.1 app.intranet.example A

પ્રથમ બે લીટીઓ બતાવે છે કે સ્થાનિક રિઝોલ્વરે શું નક્કી કર્યું અને કોને પૂછશે. +search લુકઅપ એ પુનઃઉત્પાદન કરે છે જે એપ્લિકેશન સર્ચ પ્રત્યય ઉમેરે ત્યારે કરે છે, જે ઘણી વાર ડાયગ્નોસ્ટિક સાધનમાં ટાઇપ કરેલી ક્વેરીને બદલે ખરેખરી ક્વેરી હોય છે. છેલ્લી લીટી ક્લાયન્ટ નીતિને ટાળીને આંતરિક સર્વરને સીધું પૂછે છે; જો તે સફળ થાય જ્યારે સાદો લુકઅપ નિષ્ફળ જાય, તો ઝોન ઠીક છે અને ક્વેરીનું રૂટિંગ નથી.

નકારાત્મક કેશિંગ સુધારા પછીનો વિલંબ સમજાવે છે

નકારાત્મક જવાબો ડિઝાઇન મુજબ કેશ થાય છે, અને RFC 2308 વર્ણવે છે કે નકારાત્મક કેશનું આયુષ્ય ઝોનના સત્તા રેકોર્ડ પરથી કેવી રીતે મેળવાય છે. તેથી રેકોર્ડ કે રિઝોલ્વર નિયમ સુધારવાથી ક્લાયન્ટ પર તાત્કાલિક ફેરફારની બાંયધરી મળતી નથી, અને કેશ કરેલો જવાબ પરત આપતું લુકઅપ ફરી પ્રયત્ન કરવાથી નવું કંઈ સાબિત થતું નથી. ફક્ત અલગ જવાબ આપનાર, અલગ નામ કે ખાલી કરેલી કેશ તાજો પુરાવો આપે છે.

સ્થાનિક કેશ ખાલી કરો, પછી એ જ જવાબ આપનાર સામે એ જ ક્વેરી ફરી કરો. સ્થાનિક રિઝોલ્વર સેવા વાપરતી સિસ્ટમોમાં તે એક આદેશ છે; અન્યમાં તે સેવા પુનઃશરૂ કરવી કે પ્લેટફોર્મ ઉપયોગિતા છે, અને ચોક્કસ સાધન પછી સમાન પરીક્ષણ ફરી કરવા કરતાં ઓછું મહત્ત્વનું છે.

નામને માર્ગથી અલગ પાડો

એક વાર નામ અપેક્ષિત ખાનગી સરનામા પર રિઝોલ્વ થાય, પછી DNS વિષય તરીકે પૂરું થાય છે અને એપ્લિકેશન માર્ગ આગળનો પ્રશ્ન બને છે. જે હોસ્ટ લુકઅપનો જવાબ આપે પણ કનેક્શન નકારે તેને બીજી સમસ્યા છે, અને સાચા જવાબ પછી પણ રિઝોલ્વર ગોઠવવાનું ચાલુ રાખવું એ જ રીતે એક ઘટના ત્રણ અસંબંધિત ફેરફાર મેળવે છે. બંને મળે છે એમ માનતા પહેલાં રિઝોલ્વ થયેલા સરનામાને સેવા ખરેખર જેના પર સાંભળે છે તેની સાથે સરખાવો.

ટ્રાન્સક્રિપ્ટ રાખો: ક્વેરી, જવાબ આપનાર, કોડ અને રિઝોલ્વ થયેલું સરનામું. એ રેકોર્ડ જ પછીના રિપોર્ટને ચકાસણીયોગ્ય બનાવે છે, અને તે નિદાન અને ધીમી લાગતી ટનલ વિશેની વાર્તા વચ્ચેનો ફરક છે.