NXDOMAIN yfir VPN þýðir ekki að göngin hafi fallið

Það er freistandi að lesa eina misheppnaða uppflettingu sem sönnun þess að göngin hafi hrunið, sérstaklega þegar nafnið virkaði tíu mínútum fyrr. Svarið segir annað. NXDOMAIN er lokið DNS viðskipti þar sem leysir lýsti því yfir að nafnið sem spurt var um sé ekki til; bilað göng valda venjulega þögn, tímamörkum eða tilraun til upplausnar gegn röngum þjóni. Útgáfan af röksemdinni án wireshark er ein fyrirspurn, einn svarandi og einn svarkóði, og þessum þrenningi er þess virði að skrá áður en einhverjum stillingum er breytt.

Hvað svarið sannar í raun

DNS aðskilur niðurstöður sem biðlarar sameina oft í eina bilun. Nafn sem er ekki til gefur neikvætt svar með kóðanum NXDOMAIN, en nafn sem er til en hefur enga færslu af umbeðinni gerð gefur vel heppnað svar með tómum svarhluta. Bæði líta út fyrir forrit eins og ekkert gagnlegt, og aðeins annað þeirra þýðir að nafnið er rangt.

Sá munur ræður því hvar viðgerðin á heima. Færsla AAAA sem vantar á hýsli sem hefur færslu A er ekki hýsill sem vantar, og að gefa út skírteini að nýju eða byggja göng upp að nýju til að elta hana sóar einu vísbendingunni sem var til. Aðgreiningin ræður einnig formi framhaldsins: nafnvandamál er lagað í svæðinu, og tegundarvandamál er lagað með því að biðja um réttu færsluna eða með því að sætta sig við að vistfangafjölskyldan vanti einfaldlega.

Goðsögnin: nafn í einkaeigu sem vantar þýðir að göngin hafi brugðist

Goðsögnin lifir af því að þessir tveir atburðir koma svo oft saman. Biðlari tengist VPN, stýrikerfið heldur leysi sem það treysti þegar, og innra nafnið sem það þarf núna er spurt hjá þjóni sem hefur aldrei heyrt um einkasvæðið. Sá þjónn svarar heiðarlega og neikvætt. Göngin bera pakkann; svarið snýst einfaldlega um nafnrými sem svarandinn þjónar ekki.

Split-horizon fyrirkomulag gerir þetta að venju: sama svæðisnafn er til opinberlega og innanhúss með mismunandi efni, og aðeins innri leysirinn þekkir einkafærslurnar. Að fá neikvætt svar sem virðist valdlegt er því sönnun um hvaða leysir svaraði, ekki sönnun um ástand viðmótsins.

Tveir stillingarþættir ráða niðurstöðunni. Göngin verða að ýta eða velja innri leysinn, og biðlarinn verður að beita því vali á nafnið sem er flett upp. Regla fyrir hvert lén sem nefnir viðskeyti sem er örlítið frábrugðið færslunni sem þú slóst inn sendir fyrirspurnina á opinberu slóðina, og svarið verður rétt og gagnslaust.

Spyrðu rétta leysinn með rétta nafninu

Skráðu svarandann áður en þú skráir úrskurðinn. Uppfletting sem sýnir ekki hvaða þjónn svaraði getur ekki greint stefnuvandamál frá nafnrýmisvandamáli, og viðgerðirnar tveimur eru ótengdar.

resolvectl query vpn.internal.example
resolvectl status | grep -A3 'DNS Servers'
dig +search app.intranet.example A
dig @10.8.0.1 app.intranet.example A

Fyrstu tvær línurnar sýna hvað staðbundni leysirinn ákvað og hvern hann myndi spyrja. Uppflettingin +search endurgerir það sem forrit gerir þegar það bætir við leitarviðskeyti, sem er oft raunverulega fyrirspurnin frekar en sú sem slegin var inn í greiningartól. Síðasta línan spyr innri þjóninn beint, framhjá stefnu biðlarans; ef það tekst meðan venjulega uppflettingin mistekst, er svæðið í lagi en leiðsla fyrirspurnanna ekki.

Neikvætt skyndiminni skýrir töfina eftir viðgerð

Neikvæðum svörum er skyndiminnið að hönnun, og RFC 2308 lýsir því hvernig líftími neikvæða skyndiminnisins er leiddur af valdafærslu svæðisins. Því tryggir að laga færslu eða leysireglu ekki tafarlausa breytingu hjá biðlaranum, og að endurtaka uppflettingu sem heldur áfram að skila skyndiminnissvarinu sannar ekkert nýtt. Aðeins annar svarandi, annað nafn eða tæmt skyndiminni gefur ferskar sannanir.

Tæmdu staðbundið skyndiminni og endurtaktu síðan sömu fyrirspurn gegn sama svaranda. Á kerfum sem nota staðbundna leysiþjónustu er það ein skipun; á öðrum er það endurræsing þjónustu eða verkfæri stýrikerfisins, og hið tiltekna verkfæri skiptir minna máli en að endurtaka sams konar próf á eftir.

Aðskildu nafnið frá slóðinni

Þegar nafnið hefur leyst í væntanlegt einkavistfang er DNS lokið sem umfjöllunarefni og slóð forritsins verður næsta spurning. Hýsill sem svarar uppflettingum en hafnar tengingu hefur annað vandamál, og að halda áfram að stilla leysa eftir rétt svar er leiðin sem atvik fær þrjár ótengdar breytingar. Berðu leysta vistfangið saman við það sem þjónustan hlustar í raun á áður en þú gerir ráð fyrir að þau tvö passi.

Geymdu uppskriftina: fyrirspurnina, svarandann, kóðann og leysta vistfangið. Sú skráning er líka það sem gerir síðari skýrslu sannreymanlega, og hún er munurinn á greiningu og sögu um göng sem virtust hæg.