Hibás a VPN DNS-e? Lehet, hogy az egyik hitelesítő kiszolgáló elavult

Csatlakozzon a VPN-hez, és egy hosztnév a tegnapi címre oldódik fel, vagy semmire. Bontsa a kapcsolatot, és újra működik. A reflex, hogy az alagút által kényszerített feloldót okoljuk, de a gyakoribb ok egy közzétett névkiszolgáló, amely abbahagyta a zónafrissítések fogadását. Az új útvonal egyszerűen egy másik hitelesítőhöz ért el, mint amelytől a gyorsítótárazott válasz érkezett.

A tünet a feloldóval együtt változik

A rekurzív feloldó visszaadja azt, amit egy hitelesítő mondott neki, majd a választ a TTL idejéig megtartja. Ha az alagút más feloldót kényszerít, vagy úgy változtatja az útvonalat, hogy a régi már nem érhető el, az ügyfél egy másik hitelesítőhöz fordul, és más választ kap. A domain abban a pillanatban nem változott; az arról alkotott kép változott.

Ezért működhet ugyanaz a név az egyik irodában, és hiúsulhat meg egy hotelből, és ezért segít a helyi gyorsítótár törlése csak néha. A gyorsítótár törlése ugyanahhoz a hitelesítőhöz küldi ismét a kérdést.

A megkülönböztető próba egy közvetlen lekérdezés minden közzétett kiszolgálóhoz.

Kérdezzen meg minden hitelesítőt közvetlenül

A delegálásból induljon ki, ne egy emlékezetből idézett listából. Kérdezze meg a szülőt az NS-készletről, majd kérdezze le a készlet minden nevét a számára fontos rekordra. Két lekérdezés ugyanarról a névről különböző hitelesítőknél azonnal megmondja, hogy a zóna konzisztens-e.

dig +short NS example.com
dig @ns1.dns.example app.example.com A
dig @ns2.dns.example app.example.com A

Tegye ugyanezt a zóna csúcsán lévő NS-rekordokkal, mert a szülő delegálása és a zóna saját NS-készlete migráció után eltérhet. Az SOA sorozatszámai a következő összehasonlítandók, és egy jóval lemaradt másodlagos kiszolgáló átviteli probléma, nem válaszprobléma.

Futtassa ezeket a lekérdezéseket a hibát adó hálózatból, ne csak az íróasztalától.

Válassza szét a szándékolt és a hibás nézeteket

Egyes domainek szándékosan másként válaszolnak régió vagy feloldócsoport szerint, és a split-horizon beállítások normálisak a vállalati hálózatokban.

A kérdés az, hogy a különbség dokumentált és stabil-e. A nem szándékolt nézet másként néz ki: az egyik hitelesítőnél van egy rekord, amelyet a többiek soha nem kaptak meg, vagy hiányzik nála egy, amelyet mindannyian megosztanak. Az RFC 2182 kiválasztási és üzembe helyezési útmutatója a hitelesítő rendelkezésre állást közös felelősségnek tekinti, és itt ez a helyes keret. Redundancia csak akkor létezik, ha minden közzétett kiszolgáló a szándékolt adatokkal tud válaszolni, nem csupán elfogad egy kapcsolatot az 53-as porton.

Egy SERVFAIL-t válaszoló kiszolgálót könnyebb diagnosztizálni, mint azt, amely magabiztosan és hibásan válaszol.

Egy migráció felfedi, amit a gyorsítótár elrejtett

A szolgáltatóváltás során két hitelesítő hely változik: a szülő delegálása és a zóna saját NS-rekordjai. Mindkettőt frissíteni kell, és mindkettőt a saját TTL-jükig gyorsítótárazzák. Ha egy régi kiszolgáló üzemel marad, és tovább szolgálja ki az előző zónát, azok az ügyfelek, amelyeknek a feloldói őt kérdezik, még sokkal azután is a régi választ kapják, hogy az átállás befejezettnek látszott.

Pontosan ezt az állapotot rejti el egy hosszú életű gyorsítótár. Az a munkaállomás, amely egész héten működött, egy olyan feloldóval beszélt, amelynél friss válasz volt az új hitelesítőtől, miközben a régi tovább osztotta az elavult adatokat mindenki másnak.

A feloldó megváltoztatása egy laptopon azt a laptopot javítja meg, és semmi mást.

A zónát javítsa, ne a feloldót

Azonosítsa, mely kiszolgálóknak kell hitelesítőnek lenniük a zónához, javítsa ki a felügyelt zónát vagy a delegálást, hogy mindegyikük a szándékolt adatokat szolgáltassa, és tartsa meg a tervezett redundanciát. Egy névkiszolgáló törlése amiatt, hogy egy VPN-kimenet furcsa választ kapott, csökkenti a rendelkezésre állást, és helyben hagyja az ellentmondást.

Ezután futtassa újra a közvetlen lekérdezéseket mindkét hálózatból, és várja ki a módosított rekord TTL-jének lejártát.

Erősítse meg, hogy a válasz minden hitelesítőtől stabil, és írja be a szándékolt nézetet a zónadokumentációba, hogy a következő különbséget könnyű legyen besorolni.