VPN арқылы NXDOMAIN туннельдің істен шығуын білдірмейді

Бір сәтсіз сұрауды туннельдің құлағанының дәлелі ретінде оқу азғырады, әсіресе атау он минут бұрын жұмыс істеген болса. Жауап басқаша айтады. NXDOMAIN — аяқталған DNS транзакциясы, онда шешуші сұралған атаудың жоқ екенін мәлімдеген; сынған туннель әдетте тыныштық, уақыттың бітуі немесе дұрыс емес серверге қарсы шешу әрекетін тудырады. wireshark-сыз дәлел нұсқасы — бір сұрау, бір жауап беруші және бір жауап коды, және кез келген конфигурация өзгерісінен бұрын осы үштікті жазып алуға тұрарлық.

Жауап шын мәнінде нені дәлелдейді

DNS клиенттер жиі бір сәтсіздікке біріктіретін нәтижелерді ажыратады. Жоқ атау NXDOMAIN кодымен теріс жауап береді, ал бар болғанымен сұралған түрдегі жазбасы жоқ атау бос жауап бөлімімен сәтті жауап береді. Екеуі де қолданбаға пайдасыз болып көрінеді, және олардың тек біреуі ғана атаудың қате екенін білдіреді.

Бұл айырмашылық жөндеудің қайда жататынын шешеді. A жазбасы бар хостта AAAA жазбасының болмауы хосттың жоқтығын білдірмейді, және соның соңынан қуу үшін сертификатты қайта беру немесе туннельді қайта құру жалғыз қолжетімді белгіні ысырап етеді. Айырмашылық жалғастырудың пішінін де айқындайды: атау мәселесі аймақта түзетіледі, ал түр мәселесі дұрыс жазбаны сұрау немесе мекенжай тобының жай ғана жоқ екенін қабылдау арқылы түзетіледі.

Аңыз: жеке атаудың болмауы туннельдің істен шыққанын білдіреді

Аңыз өмір сүреді, өйткені бұл екі оқиға жиі бірге келеді. Клиент VPN-ге қосылады, операциялық жүйе бұрын сенім артқан шешушіні ұстайды, және қазір қажет ішкі атау жеке аймақты ешқашан естімеген серверден сұралады. Ол сервер адал және теріс жауап береді. Туннель пакетті тасымалдап жатыр; жауап тек жауап беруші қызмет көрсетпейтін атау кеңістігі туралы.

Split-horizon конфигурациялары мұны күнделікті етеді: бір аймақ атауы ашық және ішкі түрде әртүрлі мазмұнмен бар, және жеке жазбаларды тек ішкі шешуші біледі. Сондықтан беделді көрінетін теріс жауап алу қай шешушінің жауап бергені туралы дәлел, интерфейстің күйі туралы дәлел емес.

Нәтижені екі конфигурация бөлшегі шешеді. Туннель ішкі шешушіні итеруі немесе таңдауы керек, және клиент бұл таңдауды ізделетін атауға қолдануы керек. Сіз терген жазбадан сәл өзгеше жұрнақты атайтын әр домен ережесі сұрауды ашық жолға жібереді, және жауап дұрыс әрі пайдасыз болады.

Дұрыс атаумен дұрыс шешушіден сұраңыз

Үкімді жазып алудан бұрын жауап берушіні жазып алыңыз. Қай сервердің жауап бергенін көрсетпейтін сұрау саясат мәселесін атау кеңістігі мәселесінен ажырата алмайды, және екеуінің түзетулері байланыссыз.

resolvectl query vpn.internal.example
resolvectl status | grep -A3 'DNS Servers'
dig +search app.intranet.example A
dig @10.8.0.1 app.intranet.example A

Алғашқы екі жол жергілікті шешушінің не шешкенін және кімнен сұрайтынын көрсетеді. +search сұрауы қолданбаның іздеу жұрнағын қосқанда не істейтінін қайталайды, бұл көбіне диагностикалық құралға терілген сұрау емес, нақты сұрау. Соңғы жол клиент саясатын айналып өтіп, ішкі серверден тікелей сұрайды; егер бұл сәтті болып, қарапайым сұрау сәтсіз болса, аймақ тәртіпте, ал сұраулардың маршрутталуы тәртіпте емес.

Теріс кэштеу түзетуден кейінгі кідірісті түсіндіреді

Теріс жауаптар дизайн бойынша кэштеледі, және RFC 2308 теріс кэштің өмір сүру ұзақтығы аймақтың беделдік жазбасынан қалай алынатынын сипаттайды. Сондықтан жазбаны немесе шешуші ережесін түзету клиентте бірден өзгеріс болатынына кепілдік бермейді, және кэштелген жауапты қайтара беретін сұрауды қайталау жаңа ештеңе дәлелдемейді. Тек басқа жауап беруші, басқа атау немесе тазартылған кэш жаңа дәлел береді.

Жергілікті кэшті тазартыңыз, содан кейін сол жауап берушіге сол сұрауды қайталаңыз. Жергілікті шешуші қызметін пайдаланатын жүйелерде бұл бір команда; басқаларында бұл қызметті қайта іске қосу немесе платформа құралы, және нақты құрал содан кейін бірдей сынақты қайталаудан маңызды емес.

Атауды жолдан бөліңіз

Атау күтілген жеке мекенжайға шешілген соң, DNS тақырып ретінде аяқталады және келесі сұрақ қолданба жолы болады. Сұрауларға жауап беретін, бірақ қосылыстан бас тартатын хосттың мәселесі басқа, және дұрыс жауаптан кейін шешушілерді реттей беру оқиғаның үш байланыссыз өзгеріс алу тәсілі. Екеуі сәйкес келеді деп есептемес бұрын шешілген мекенжайды қызмет шын мәнінде тыңдайтын мекенжаймен салыстырыңыз.

Жазбаны сақтаңыз: сұрау, жауап беруші, код және шешілген мекенжай. Сол жазба кейінгі есепті тексерілетін етеді, және ол диагноз бен баяу көрінген туннель туралы әңгіменің айырмашылығы.