DNS na sirri yana aiki a cikin VPC amma ba ta VPN ba

Sunan sirri yana warwarewa daga misalin EC2 amma ba daga kwamfutar tafi-da-gida da aka haɗa ta VPN ba, kuma yankin yana kama da daidai a cikin na'urar kula. Tunanin farko shi ne a gyara rikodin, wanda kusan ba shi ne matsalar ba. Rikodin yana amsa wa wani; kawai ba ya amsa kwamfutar tafi-da-gidanka. Bambancin tsakanin masu kira biyu shi ne wane resolver suke tambaya, da kuma ko wannan resolver yana da hanyar da aka tallafa zuwa ga ra'ayin DNS na VPC.

Na fara da tabbatar da cewa rikodin yana nan, sannan in ciyar da sauran lokacin a kan hanyar tambaya. Waɗannan tsari ne daban kuma suna gazawa a siffofi daban-daban.

Karanta siffar gazawar kafin ka canza wani abu

Sakamako uku suna nufin abubuwa uku daban, kuma tambaya ɗaya tana raba su: gudanar da dig don sunan a kan resolver ɗin da abokin ciniki ke amfani da shi a zahiri.

Ƙarewar lokaci bayani ne game da hanyar sadarwa. NXDOMAIN bayani ne game da ra'ayin DNS. Amsa ta jama'a bayani ne game da manufa. Gyara rikodin yanki yayin da akwai ƙarewar lokaci yana watsar da shaida ɗaya mai amfani a cikin shari'ar.

Me ya sa adireshin ƙari-biyu na VPC ba resolver na nesa ba ne

Adireshin CIDR ƙari-biyu sabis ne na gida don albarkatun cikin VPC. AWS yana rubuta cewa tura tambayoyi daga cibiyoyin sadarwa na gida, ko daga sabar DNS na wani VPC, kai tsaye zuwa wannan adireshin ba a tallafa masa kuma yana iya bayar da sakamako marasa tabbas.

Wannan ba yana nufin gwaji ba ya taɓa kama da yana aiki ba. Yana nufin halin ba yarjejeniya ba ce da za ka iya sanyawa a cikin rubutun taimako. Hanyar da aka tallafa ita ce Resolver endpoint mai shigowa: nau'i-nau'in adireshi biyu cikin VPC ɗinka, wanda za a iya isa daga hanyar sadarwar da kake sarrafawa, mai karɓar tambayoyin da ke zuwa daga wajen AWS.

Gina hanyar a cikin tsarin da take gazawa a tsaftace

Dole ne a sami tsalle-tsalle uku, kuma kowanne yana da nasa hanyar gazawa.

VPN client -> approved DNS forwarder
forwarder -> forwarding rule for internal.example
forwarding rule -> Resolver inbound endpoint addresses

Mai turawa yana buƙatar hanya zuwa adireshin endpoint ta VPN, kuma hanyar dawowa dole ne ta yi aiki. Don DNS na al'ada a tashar 53 endpoint yana amsa ta UDP da TCP, don haka dole ne a ba da izini ga duk ka'idojin biyu kuma duka biyu dole ne su tsira daga duk wani binciken yanayi a tsakiya.

Sannan duba ra'ayin DNS daban. Yankin da aka shirya na sirri ana gani ne kawai ga VPC ɗin da aka haɗa shi da su, ko ta hanyar yarjejeniyar rabo da gangan. Endpoint da ake iya isa ba ya sa kowane yanki na sirri ya zama mai warwarewa a cikin mahallinsa na warwarewa.

Endpoint mai fita yana hidima ga kishiyar hanya kuma ba zai amsa tambayar da ta shigo daga kwamfutar tafi-da-gidanka ba.

Tabbatar daga ɓangarorin biyu

Tambaya daga abokin ciniki a kan mai turawa, sannan daga mai turawa a kan endpoint. Idan abokin ciniki ya gaza yayin da mai turawa ya yi nasara, tazarar tana tsakanin waɗannan biyun.

Idan duka biyu sun gaza, duba manufar tsaro a kan endpoint da adireshin tushen da yake gani a zahiri. Mai turawa a bayan NAT yana nuna adireshin NAT maimakon adireshin VPN na kwamfutar tafi-da-gida, kuma wannan bambancin kaɗai ya isa a watsar da tambayar. Idan duka biyu sun yi nasara amma aikace-aikacen har yanzu ya gaza, aikace-aikacen na iya amfani da wani resolver daban da wanda ka gwada.

Ka riƙe sararin suna na jama'a da na sirri dabam da gangan. Split DNS manufa ce da kake saitawa, ba sakamakon wani bincike da ya yi karo ya dawo da bayanai ba.

Abin da ba zan yi ba

Ba zan ƙara dokar NAT da ta sa bincike ɗaya ya yi aiki ba sannan in kira shi zane.

Ba zan juya kowane abokin ciniki na nesa zuwa adireshin ƙari-biyu ba saboda gwaji ɗaya ya taɓa dawo da rikodi. Kuma ba zan faɗaɗa manufar tsaro ta endpoint zuwa dukan tafkin VPN ba yayin da mai turawa ɗaya kawai ke buƙatar shiga. Idan ƙungiyar tana da mai turawa da aka amince da shi a cikin VPC, karanta wannan zanen da farko, domin endpoint na biyu da za ka ƙara shi ne wanda babu wanda ya rubuta.