Rekurzija nije dostupna: DNS politika, a ne pokvareni tunel

Interno ime se razrješava, a isti poslužitelj odgovara na vanjsko ime odbijenicom zbog rekurzije. Ta kombinacija nije proturječje. Objavljivanje vlastitih zona i razrješavanje cijelog interneta dvije su odvojene usluge koje poslužitelj može nuditi, i može obavljati prvu bez druge. Tretirajte odbijenicu kao izjavu o politici, pa provjerite odgovara li politika dizajnu.

Odbijenica i istek vremena dva su različita odgovora

Zapišite ime, vrstu upita, poslužitelj koji odgovara, status i vraćene zapise. Upozorenje o rekurziji ne poništava automatski autoritativni odgovor koji je stigao s njim. Zapišite status prije nego ga protumačite. Status rekonstruiran iz sjećanja sat kasnije druga je činjenica.

Zaglavlje DNS-a nosi zahtjev za rekurziju i naznaku nudi li je poslužitelj, a specifikacija protokola drži te zastavice odvojeno od podataka odgovora. Zato odgovor može biti koristan i nositi pritužbu. Istek vremena, negativan odgovor i odbijenica tri su različita ishoda. Svaki pokazuje na drugi sloj, i samo je odbijenica poslužitelj koji vam govori o politici.

Prvo pročitajte statusni kod, pa odlučite je li upozorenje važno za ovaj upit. Autoritativni odgovor koji imenuje zonu upotrebljiv je čak i kad je rekurzivni bit odbijen. Odbijenica bez odgovora rezultat je politike, a ne pokvaren put paketa.

Što je razrješivač zabilježio kao vaš izvor

Klijent može stizati iz skupa adresa izvan dopuštenih rekurzivnih raspona poslužitelja, ili ga prijevod može učiniti sličnim mrežnom prolazu. Vlastita adresa adaptera klijenta nije dokaz o tome što je razrješivač primio. Pitajte administratora poslužitelja za zapaženi izvor umjesto da ga izvodite sa svoje strane puta. Dvije adrese mogu se razlikovati na svakom skoku koji prevodi.

Upitajte isto ime s klijenta i s hosta kojemu poslužitelj već vjeruje. Razlika između dva odgovora jest stanje izvora, i korisnija je od bilo kojeg odgovora samog.

dig +short host.corp.example
dig +short example.com

Ako implementacija želi rekurziju za VPN klijente, administrator ovlašćuje odgovarajući raspon izvora kroz vlastite kontrole poslužitelja. Otvaranje rekurzije prema svakoj mreži da bi jedan test prošao mnogo je veća promjena od one koja se testira. Zapišite ovlašteni raspon uz pravilo, jer će sljedeći recenzent pitati kojim je izvorima politika trebala služiti. Raspon izvora bez vlasnika način je na koji privremeni test postaje trajan.

Podijeljeni DNS je dizajn, a ne kvar

Neke implementacije šalju samo radne domene privatnom razrješivaču, a sve ostalo drugom odobrenom razrješivaču. To je dizajn usmjeravanja upita i nije dokaz da privatnom poslužitelju treba labavija politika. U tom dizajnu vanjsko ime koje ne uspije kroz privatni razrješivač jest namjeravani ishod, a ne kvar. Odbijenica je dizajn koji radi, a ne simptom koji treba potisnuti.

Javni razrješivač može vratiti pregledavanje, a pritom pokvariti interna imena ili poslati privatne upite tamo gdje ne smiju ići. Zapišite namjeravano ponašanje prije nego promijenite bilo koju adresu razrješivača.

Provjerite politiku s dva upita

Nakon namjeravane ispravke upitajte dopušteno privatno ime i vanjsko ime sa stvarnog klijenta. Ono što se vrati treba biti ono što politika obećava, a ne samo tiša dijagnostika. Zapišite poslužitelj koji odgovara uz svaki odgovor, pa usporedite par s politikom. Usporedba je test, a jedno uspješno traženje nije.

resolvectl query host.corp.example
resolvectl query example.com

Ako privatno ime radi, a javno je ime odbijeno, politika radi ono što kaže. Ako i privatno ime ne uspije, problem je u zoni, ruti ili ovlaštenju izvora, a rekurzija je odvraćanje pozornosti. Oba su ishoda korisna, i svaki isključuje polovicu preostalih hipoteza.

Čitajte odbijenicu kao dokaz

Odbijenica je odgovor. Znači da je poslužitelj primio upit i odbio obaviti traženi posao, što se razlikuje od paketa koji nikad nije stigao. Ta razlika je cijela dijagnoza. Zabilježite je kao odgovor, a ne kao kvar povezanosti.

Ta razlika vam kaže gdje gledati: poslužiteljeve zapise, njegovu politiku pristupa i izvor koji je zabilježio. Promjena vatrozida ne može ispraviti odbijenicu politike, a promjena politike ne može ispraviti rutu koja nedostaje. Držite dvije hipoteze odvojeno dok jedna od njih ne dobije dokaz.

Zapišite ishod i vlasnika politike u tiket, da sljedeća osoba krene od odluke, a ne od upozorenja. Navedite ovlašteni raspon izvora i dva imena koja ste testirali. Tiket s te tri činjenice može se ponovno pokrenuti; onaj koji kaže "rekurzija je pokvarena" ne može.