रिकर्शन उपलब्ध नहीं: DNS नीति, टूटी सुरंग नहीं

आंतरिक नाम हल हो जाता है, और वही सर्वर किसी बाहरी नाम को रिकर्शन के बारे में इनकार के साथ उत्तर देता है। यह संयोजन विरोधाभास नहीं है। अपने ज़ोन प्रकाशित करना और पूरे इंटरनेट को हल करना सर्वर की दो अलग सेवाएँ हैं, और वह पहली को दूसरी के बिना कर सकता है। इनकार को नीति का बयान मानिए, फिर जाँचिए कि नीति डिज़ाइन से मेल खाती है या नहीं।

इनकार और टाइमआउट अलग उत्तर हैं

नाम, क्वेरी प्रकार, उत्तर देने वाला सर्वर, स्थिति और लौटाए गए रिकॉर्ड दर्ज कीजिए। रिकर्शन चेतावनी उसके साथ आए आधिकारिक उत्तर को अपने आप अमान्य नहीं करती। व्याख्या करने से पहले स्थिति लिख लीजिए। एक घंटे बाद स्मृति से फिर बनाई गई स्थिति एक अलग तथ्य है।

DNS हेडर रिकर्शन का अनुरोध और सर्वर उसे प्रदान करता है या नहीं इसका संकेत रखता है, और प्रोटोकॉल विनिर्देश उन फ़्लैग को उत्तर के डेटा से अलग रखता है। इसीलिए उत्तर उपयोगी हो सकता है और फिर भी शिकायत ले जा सकता है। टाइमआउट, नकारात्मक उत्तर और इनकार तीन अलग परिणाम हैं। हर एक अलग परत की ओर संकेत करता है, और केवल इनकार ही सर्वर है जो आपको नीति के बारे में बताता है।

पहले स्थिति कोड पढ़िए, फिर तय कीजिए कि इस क्वेरी के लिए चेतावनी मायने रखती है या नहीं। ज़ोन का नाम बताने वाला आधिकारिक उत्तर तब भी उपयोगी है जब रिकर्शन बिट अस्वीकार हो। उत्तर के बिना इनकार नीति का परिणाम है, टूटा पैकेट मार्ग नहीं।

रिज़ॉल्वर ने आपके स्रोत के रूप में क्या दर्ज किया

क्लाइंट सर्वर की अनुमत रिकर्शन श्रेणियों के बाहर के पता पूल से आ सकता है, या अनुवाद उसे गेटवे जैसा दिखा सकता है। क्लाइंट का अपना एडाप्टर पता इस बात का प्रमाण नहीं है कि रिज़ॉल्वर को क्या मिला। मार्ग के अपने हिस्से से अनुमान लगाने के बजाय सर्वर के प्रशासक से देखा गया स्रोत पूछिए। अनुवाद करने वाले हर हॉप पर दोनों पते अलग हो सकते हैं।

वही नाम क्लाइंट से और उस होस्ट से भी पूछिए जिस पर सर्वर पहले से भरोसा करता है। दोनों उत्तरों का अंतर ही स्रोत की स्थिति है, और वह किसी एक उत्तर से अधिक उपयोगी है।

dig +short host.corp.example
dig +short example.com

अगर परिनियोजन VPN क्लाइंट के लिए रिकर्शन चाहता है, तो प्रशासक सर्वर के अपने नियंत्रणों से उपयुक्त स्रोत श्रेणी को अधिकृत करता है। एक परीक्षण पास कराने के लिए हर नेटवर्क के लिए रिकर्शन खोलना उस बदलाव से कहीं बड़ा है जो परखा जा रहा है। अधिकृत श्रेणी नियम के बगल में लिखिए, क्योंकि अगला समीक्षक पूछेगा कि नीति किन स्रोतों की सेवा के लिए थी। बिना स्वामी वाली स्रोत श्रेणी ही अस्थायी परीक्षण को स्थायी बनाती है।

विभाजित DNS एक डिज़ाइन है, खराबी नहीं

कुछ परिनियोजन केवल कार्य डोमेन निजी रिज़ॉल्वर को भेजते हैं और बाकी सब किसी दूसरे स्वीकृत रिज़ॉल्वर को। यह क्वेरी-रूटिंग डिज़ाइन है, और यह इस बात का प्रमाण नहीं है कि निजी सर्वर को ढीली नीति चाहिए। उस डिज़ाइन में निजी रिज़ॉल्वर से बाहरी नाम का विफल होना इच्छित परिणाम है, खराबी नहीं। इनकार डिज़ाइन का काम करना है, दबाने योग्य लक्षण नहीं।

सार्वजनिक रिज़ॉल्वर ब्राउज़िंग लौटा सकता है जबकि आंतरिक नाम तोड़ दे या निजी क्वेरी वहाँ भेज दे जहाँ उन्हें नहीं जाना चाहिए। कोई भी रिज़ॉल्वर पता बदलने से पहले इच्छित व्यवहार लिख लीजिए।

दो क्वेरी से नीति सत्यापित कीजिए

इच्छित सुधार के बाद वास्तविक क्लाइंट से एक अनुमत निजी नाम और एक बाहरी नाम पूछिए। जो लौटे वही होना चाहिए जिसका नीति वादा करती है, केवल अधिक शांत निदान नहीं। हर उत्तर के साथ उत्तर देने वाला सर्वर दर्ज कीजिए, फिर जोड़ी की नीति से तुलना कीजिए। तुलना ही परीक्षण है, और एक सफल लुकअप नहीं।

resolvectl query host.corp.example
resolvectl query example.com

अगर निजी नाम काम करता है और सार्वजनिक नाम अस्वीकार होता है, तो नीति वही कर रही है जो वह कहती है। अगर निजी नाम भी विफल हो, तो समस्या ज़ोन, मार्ग या स्रोत प्राधिकरण में है, और रिकर्शन ध्यान भटकाना है। दोनों परिणाम उपयोगी हैं, और हर एक बची हुई आधी परिकल्पनाओं को हटा देता है।

इनकार को प्रमाण के रूप में पढ़िए

इनकार एक उत्तर है। इसका अर्थ है कि सर्वर को क्वेरी मिली और उसने माँगा गया काम करने से मना किया, जो कभी न आए पैकेट से अलग है। यही अंतर पूरा निदान है। इसे उत्तर के रूप में दर्ज कीजिए, कनेक्टिविटी विफलता के रूप में नहीं।

यह अंतर बताता है कि कहाँ देखें: सर्वर के लॉग, उसकी पहुँच नीति और वह स्रोत जो उसने दर्ज किया। फ़ायरवॉल बदलाव नीति के इनकार को ठीक नहीं कर सकता, और नीति बदलाव गायब मार्ग को ठीक नहीं कर सकता। दोनों परिकल्पनाओं को अलग रखिए जब तक किसी एक के पास प्रमाण न हो।

परिणाम और नीति का स्वामी टिकट में लिखिए, ताकि अगला व्यक्ति चेतावनी से नहीं, निर्णय से शुरू करे। अधिकृत स्रोत श्रेणी और वे दो नाम बताइए जिन्हें आपने परखा। उन तीन तथ्यों वाला टिकट फिर चलाया जा सकता है; "रिकर्शन टूटा है" कहने वाला नहीं।