Nebula шамшырағының DNS: кім қандай жазбаларды сұрай алады?
Қосымша тыңдаушы шамшырақ ұстайтын хост деректерінен жауап береді. A жазбалары мен TXT сұраулары қолжетімділік пен аудитория бойынша ерекшеленеді, сондықтан оны әдейі байлаңыз.
Nebula-дағы шамшырақ рөлі адамдар автоматты деп санайтын көп жұмыс атқарады, ал DNS-ке жауап беру солардың бірі емес. Атауларға қызмет көрсету өшірулі күйде басталатын қосымша тыңдаушы, сондықтан overlay ішінде атауларды жақсы шешетін хост әріптестің ноутбугін шешуге мүлде ештеңе таппауы мүмкін. Оны қоспас бұрын кімнің оған жетуі керегін және қандай жазба түрлеріне жауап беруге дайын екеніңізді шешіңіз, өйткені бұл екі жауап әртүрлі.
Тыңдаушы қосымша және әдепкі бойынша өшірулі
Анықтау мен DNS бөлек қызметтер. Шамшырақ peer-лерге бір-бірін табуға көмектеседі және қосымша ретінде өзі білетін хосттар туралы атау сұрауларына жауап бере алады, бірақ бұл екінші бөлік конфигурацияда анық қосылуы керек.
Бірдеңені қоспас бұрын қай интерфейстер мен желілер тыңдаушыға жетуі керегін шешіңіз. Сіз ойламаған интерфейсте жауап беретін DNS қызметі ешкім оқымайтын журнал жазбасынсыз шағын ақпарат ағып кетуіне айналады. Шешімді қазір қабылдау кейін тарылтудан әлдеқайда арзан, әсіресе бірдеңе қате жауапқа тәуелді болған кезде. Конфигурацияның екі жолы жарты жылдан кейінгі оқиға жазбасынан гөрі түсіндіруге оңай.
A жазбалары мен TXT бір аудиторияны бөліспейді
Бұл екі жазба түріне әртүрлі жағдайларда жауап беріледі, ал оларды бір қызмет ретінде қарау осы мақаланың алдын алу үшін жазылған қате.
| Query | What it returns | Who can reach it |
|---|---|---|
| A record for a host name | That host Nebula IP | Any host that can reach the listener, overlay or not |
| TXT for a host IP | Certificate information | Only over the Nebula network |
Бұл асимметрия әдейі, немқұрайлық емес. Атауды мекенжайға сәйкестендіру сыртқы адам үшін аз құнды, ал сертификат метадеректері overlay-іңіздегі сәйкестіктерді сипаттайды. Бір жолдан екіншісіне тек бір процесс екеуіне де жауап береді деп болжамды көшірмеңіз.
Ол тек шамшырақтың өз хосттары туралы жауап береді
Бұл сіздің кеңсеңіз, бұлттық VPC немесе жалпыға ортақ интернет үшін жалпы шешуші емес. Шамшырақ өзіне берілген хост ақпаратынан жауап береді, сондықтан бұл мүмкіндік әр peer-де емес, шамшырақ түйіндерінде тұрады.
Overlay-ге қатысы жоқ атау қате болса, оны шын мәнінде иеленетін аймақ пен шешушіні табыңыз. Overlay шешушісін хосттың жалпы DNS конфигурациясына араластыру кездейсоқ көрінетін ақаулар туғызады, өйткені кейбір атаулар шешіледі, қалғандарына ештеңе жауап бермейді.
Сондай-ақ bootstrap кіру нүктесіне назар аударыңыз. Бірінші шамшыраққа жету үшін қолданылатын хост атауы анықтау оған сүйене алар алдында қарапайым жолмен шешілуі керек, сондықтан мұндағы тауық пен жұмыртқа мәселесі дәл сынған overlay-ге ұқсайды. Ол тіпті дәл солай хабарлайды: ешқашан көтерілмейтін peer және ешқандай айқын себеп жоқ. Сертификаттарға қол тигізбес бұрын атау шешімін тексеріңіз, өйткені бұл тәртіп қиынырақ жартыдан бастағандарды ұстайды.
Байланыстыру мекенжайын тексеріңіз, содан кейін сырттан сынаңыз
lighthouse.dns.host мен lighthouse.dns.port қосымша қызмет қайда тыңдайтынын анықтайды. Бұл мәндерді хосттың firewall-ымен және желілік саясатпен бірге қарап шығыңыз, өйткені байланыстыру мекенжайы ниеттің мәлімдемесі, өздігінен қауіпсіздік бақылауы емес.
dig @10.42.0.1 -p 53 workstation.nebula A +short
dig @10.42.0.1 -p 53 10.42.0.7 TXT +shortРұқсат бермек болған желілерден сұраңыз, шамшырақтың өзінен емес. Шамшырақтағы сәтті іздеу процестің жүріп жатқанын дәлелдейді және сыртқы хосттың не сұрай алатыны туралы ештеңе айтпайды, ал шын мәнінде маңызды сұрақ осы.
Оны әдейі ашыңыз
Атаулар мен сертификат метадеректері пайдалы операциялық ақпарат, ал пайдалылық екі жаққа да кесіледі. Тыңдаушы тек overlay үшін болуы керек пе, қандай жазба түрлеріне рұқсат беріледі және конфигурация өзгергенде кім қарап шығады, соны шешіңіз.
Содан кейін оны шамшырақ параметрлерінің жанына жазыңыз. Шешу ақауын жөндейтін келесі адам әйтпесе қызмет әрқашан сонда болды деп есептейді. Ол сондай-ақ қызмет өзі сынап жатқан кез келген жерден әрқашан қолжетімді болды деп есептейді. Байланыстыру мекенжайы, рұқсат етілген желілер және жазба түрлері жазылған бір абзац сол адамның бір түстен кейінгі уақытын және неге бірдеңе өзгерді деп сұрайтын хабарламаны үнемдейді.