Nebula világítótorony DNS: ki kérdezhet mely rekordokat?
Az opcionális figyelő azokból a gazdagép-adatokból válaszol, amelyekkel a világítótorony rendelkezik. Az A rekordok és a TXT lekérdezések elérhetőség és közönség szempontjából eltérnek, ezért szándékosan kösd be.
A világítótorony szerepe a Nebulában sok olyan munkát végez, amelyet az emberek automatikusnak hisznek, és a DNS-válaszadás nem tartozik ezek közé. A névszolgáltatás egy opcionális figyelő, amely kikapcsolva indul, ezért előfordulhat, hogy az overlayn belül jól feloldó gazdagépnek egyáltalán nincs mivel feloldania egy kolléga laptopját. Bekapcsolás előtt döntsd el, kinek kell elérnie, és milyen rekordtípusokra vagy hajlandó válaszolni, mert ez a két válasz eltér.
A figyelő opcionális, és alapértelmezés szerint ki van kapcsolva
A felderítés és a DNS külön szolgáltatások. A világítótorony segít a peer-eknek megtalálni egymást, és emellett válaszolhat az általa ismert gazdagépekre vonatkozó névlekérdezésekre, de ezt a második részt kifejezetten be kell kapcsolni a konfigurációban.
Mielőtt bármit engedélyezel, döntsd el, mely interfészek és hálózatok érhetik el a figyelőt. Az a DNS-szolgáltatás, amely egy nem szándékolt interfészen válaszol, kis információszivárgássá válik anélkül, hogy bárki olvasná a naplóbejegyzését. A döntés most sokkal olcsóbb, mint később szűkíteni, miután valami már a rossz választól függ. Két sor konfigurációt könnyebb megindokolni, mint egy incidensjegyzetet fél év múlva.
Az A rekordok és a TXT nem osztoznak közönségen
Ezt a két rekordtípust eltérő feltételekkel szolgáljuk ki, és egyetlen szolgáltatásként kezelni őket az a hiba, amelynek megelőzésére ez a cikk született.
| Query | What it returns | Who can reach it |
|---|---|---|
| A record for a host name | That host Nebula IP | Any host that can reach the listener, overlay or not |
| TXT for a host IP | Certificate information | Only over the Nebula network |
Ez az aszimmetria szándékos, nem mulasztás. A név-cím leképezés kicsi értéket jelent egy kívülállónak, míg a tanúsítvány metaadatai az overlay identitásait írják le. Ne vigyél át feltevést egyik sorból a másikba csak azért, mert ugyanaz a folyamat válaszol mindkettőre.
Csak a világítótorony saját gazdagépeiről válaszol
Ez nem általános feloldó az irodád, a felhő-VPC-d vagy a nyilvános internet számára. A világítótorony a neki adott gazdagép-információkból válaszol, ezért él ez a funkció világítótorony-csomópontokon, nem minden peeren.
Amikor egy név meghiúsul, amihez az overlaynek semmi köze, keresd meg a zónát és a feloldót, amelyek valóban birtokolják. Egy overlay-feloldó belekeverése egy gazdagép általános DNS-konfigurációjába véletlenszerűnek tűnő hibákat okoz, mert egyes nevek feloldódnak, másokra pedig semmi sem válaszol.
Figyeld meg a bootstrap belépési pontot is. Az első világítótorony eléréséhez használt gazdagépnévnek hagyományos úton kell feloldódnia, mielőtt a felderítés támaszkodhat rá, ezért a tyúk és a tojás problémája itt pontosan úgy néz ki, mint egy törött overlay. Sőt ugyanúgy is jelentkezik: egy peer, amely soha nem jön fel, és semmilyen nyilvánvaló ok. Ellenőrizd a névfeloldást, mielőtt a tanúsítványokhoz nyúlsz, mert ez a sorrend kapja el azokat, akik a nehezebb felével kezdték.
Ellenőrizd a kötési címet, majd tesztelj kívülről
lighthouse.dns.host és lighthouse.dns.port határozza meg, hol figyel az opcionális szolgáltatás. Vizsgáld át ezeket az értékeket a gazdagép tűzfalával és a hálózati szabályzattal együtt, mert a kötési cím szándéknyilatkozat, és önmagában nem biztonsági kontroll.
dig @10.42.0.1 -p 53 workstation.nebula A +short
dig @10.42.0.1 -p 53 10.42.0.7 TXT +shortAzokból a hálózatokból kérdezz, amelyeket engedélyezni akarsz, ne magából a világítótornyoból. A sikeres keresés a világítótoronyban azt bizonyítja, hogy a folyamat fut, és semmit sem mond arról, mit kérdezhet egy külső gazdagép, márpedig valójában ez a kérdés számít.
Szándékosan tedd elérhetővé
A nevek és a tanúsítvány metaadatai hasznos üzemeltetési információ, és a hasznosság mindkét irányba vág. Döntsd el, hogy a figyelő csak az overlay számára legyen-e elérhető, mely rekordtípusok engedélyezettek, és ki vizsgálja felül a konfigurációt, amikor az megváltozik.
Aztán írd le a világítótorony beállításai mellé. A következő ember, aki egy feloldási hibát fog hibakeresni, különben azt feltételezi, hogy a szolgáltatás mindig ott volt. Azt is feltételezi majd, hogy mindig elérhető volt onnan, ahol éppen tesztel. Egy bekezdés a kötési címről, az engedélyezett hálózatokról és a rekordtípusokról megspórol annak az embernek egy délutánt, és neked egy üzenetet arról, miért változott meg valami.