DNS mercusuar Nebula: siapa yang boleh menanyakan rekaman mana?
Pendengar opsional menjawab dari data host yang dipegang mercusuar. Kueri rekaman A dan TXT berbeda dalam keterjangkauan dan audiens, jadi ikat dengan sengaja.
Peran mercusuar di Nebula melakukan banyak pekerjaan yang orang anggap otomatis, dan menjawab DNS bukan salah satunya. Melayani nama adalah pendengar opsional yang mulai dalam keadaan mati, karena itu host yang berhasil menyelesaikan nama di dalam overlay bisa saja tidak punya apa pun untuk menyelesaikan laptop rekan. Sebelum menyalakannya, putuskan siapa yang seharusnya mencapainya dan jenis rekaman mana yang bersedia Anda jawab, sebab kedua jawaban itu berbeda.
Pendengar bersifat opsional dan mati secara bawaan
Penemuan dan DNS adalah layanan terpisah. Mercusuar membantu peer saling menemukan dan sebagai tambahan dapat menjawab kueri nama tentang host yang dikenalnya, tetapi bagian kedua itu harus dinyalakan secara eksplisit dalam konfigurasi.
Putuskan antarmuka dan jaringan mana yang seharusnya mencapai pendengar sebelum Anda mengaktifkan apa pun. Layanan DNS yang menjawab pada antarmuka yang tidak Anda maksud menjadi kebocoran informasi kecil tanpa satu pun entri log yang dibaca orang. Keputusan itu jauh lebih murah diambil sekarang daripada dipersempit nanti, setelah sesuatu bergantung pada jawaban yang salah. Dua baris konfigurasi lebih mudah dipertanggungjawabkan daripada catatan insiden enam bulan kemudian.
Rekaman A dan TXT tidak berbagi audiens
Kedua jenis rekaman ini dijawab dalam kondisi berbeda, dan memperlakukannya sebagai satu layanan adalah kesalahan yang hendak dicegah artikel ini.
| Query | What it returns | Who can reach it |
|---|---|---|
| A record for a host name | That host Nebula IP | Any host that can reach the listener, overlay or not |
| TXT for a host IP | Certificate information | Only over the Nebula network |
Asimetri itu disengaja dan bukan kelalaian. Pemetaan nama ke alamat bernilai kecil bagi orang luar, sedangkan metadata sertifikat menggambarkan identitas di overlay Anda. Jangan membawa asumsi dari satu baris ke baris lain hanya karena proses yang sama menjawab keduanya.
Ia hanya menjawab tentang host milik mercusuar sendiri
Ini bukan resolver umum untuk kantor, VPC cloud, atau internet publik Anda. Mercusuar menjawab dari informasi host yang diberikan kepadanya, karena itu fitur ini hidup di node mercusuar dan bukan di setiap peer.
Ketika sebuah nama gagal dan overlay tidak ada hubungannya, temukan zona dan resolver yang benar-benar memilikinya. Mencampur resolver overlay ke konfigurasi DNS umum sebuah host menghasilkan kegagalan yang tampak acak, karena sebagian nama berhasil diselesaikan dan sebagian lagi tidak dijawab apa pun.
Perhatikan juga titik masuk bootstrap. Nama host yang dipakai untuk mencapai mercusuar pertama harus diselesaikan lewat jalur biasa sebelum penemuan dapat bergantung padanya, jadi masalah ayam dan telur di sini tampak persis seperti overlay yang rusak. Ia bahkan melaporkan dengan cara yang sama: peer yang tidak pernah muncul dan tidak ada alasan yang jelas. Periksa penyelesaian nama sebelum menyentuh sertifikat, karena urutan itu menangkap orang yang memulai dari separuh yang lebih sulit.
Periksa alamat bind, lalu uji dari luar
lighthouse.dns.host dan lighthouse.dns.port menentukan di mana layanan opsional mendengarkan. Tinjau nilai-nilai itu bersama firewall host dan kebijakan jaringan, karena alamat bind adalah pernyataan niat dan bukan kontrol keamanan dengan sendirinya.
dig @10.42.0.1 -p 53 workstation.nebula A +short
dig @10.42.0.1 -p 53 10.42.0.7 TXT +shortKueri dari jaringan yang ingin Anda izinkan, bukan dari mercusuar itu sendiri. Pencarian berhasil di mercusuar membuktikan prosesnya berjalan dan tidak memberi tahu Anda apa pun tentang apa yang bisa ditanyakan host luar, dan itulah pertanyaan yang benar-benar penting.
Ekspos dengan sengaja
Nama dan metadata sertifikat adalah informasi operasional yang berguna, dan kegunaan memotong dua arah. Putuskan apakah pendengar seharusnya hanya untuk overlay, jenis rekaman mana yang diizinkan, dan siapa yang meninjau konfigurasi saat berubah.
Lalu tuliskan di samping pengaturan mercusuar. Orang berikutnya yang men-debug kegagalan resolusi akan menganggap bahwa layanan itu selalu ada. Ia juga akan menganggap layanan itu selalu terjangkau dari mana pun ia kebetulan menguji. Satu paragraf yang mencatat alamat bind, jaringan yang diizinkan, dan jenis rekaman menghemat satu sore bagi orang itu dan menghemat pesan yang menanyakan mengapa sesuatu berubah.