Рекурсия қолжетімсіз: DNS саясаты, бұзылған туннель емес

Ішкі атау шешіледі, және сол сервер сыртқы атауға рекурсия туралы бас тартумен жауап береді. Бұл тіркесім қайшылық емес. Өз аймақтарын жариялау мен бүкіл интернетті шешу — сервер ұсына алатын екі бөлек қызмет, және ол біріншісін екіншісінсіз орындай алады. Бас тартуды саясат мәлімдемесі деп қарастырып, содан кейін саясаттың дизайнға сәйкес келетінін тексеріңіз.

Бас тарту мен таймаут — әртүрлі жауаптар

Атауды, сұраныс түрін, жауап берген серверді, күйді және қайтарылған жазбаларды жазып алыңыз. Рекурсия ескертуі өзімен бірге келген өкілетті жауапты автоматты түрде жарамсыз етпейді. Күйді түсіндіруден бұрын жазыңыз. Бір сағаттан кейін жадыдан қалпына келтірілген күй — басқа факт.

DNS тақырыбы рекурсия сұрауын және сервер оны ұсына ма деген көрсеткішті тасымалдайды, ал хаттама спецификациясы бұл жалаушаларды жауап деректерінен бөлек ұстайды. Сондықтан жауап пайдалы бола тұрып, шағым да тасымалдауы мүмкін. Таймаут, теріс жауап және бас тарту — үш түрлі нәтиже. Әрқайсысы басқа қабатқа нұсқайды, және тек бас тарту ғана сервердің сізге саясат туралы айтуы.

Алдымен күй кодын оқыңыз, содан кейін ескертудің осы сұраныс үшін маңыздылығын шешіңіз. Аймақты атайтын өкілетті жауап рекурсивті бит қабылданбаса да қолданылады. Жауапсыз бас тарту — саясат нәтижесі, бұзылған пакет жолы емес.

Шешуші сіздің көзіңіз ретінде нені жазды

Клиент сервердің рұқсат етілген рекурсивті диапазондарынан тыс мекенжай пулынан келуі мүмкін, немесе трансляция оны шлюзге ұқсатып көрсетуі мүмкін. Клиенттің өз адаптер мекенжайы шешушінің нені алғанына дәлел емес. Жолдың өз жағыңыздан қорытынды жасаудың орнына сервер әкімшісінен байқалған көзді сұраңыз. Екі мекенжай трансляция жасайтын әрбір секірісте өзгеше болуы мүмкін.

Сол атауды клиенттен және сервер сенетін хосттан сұраңыз. Екі жауаптың айырмашылығы — көз шарты, және ол кез келген жалғыз жауаптан пайдалырақ.

dig +short host.corp.example
dig +short example.com

Егер орналастыру VPN клиенттері үшін рекурсияны қаласа, әкімші сервердің өз басқару құралдары арқылы тиісті көз диапазонын рұқсат етеді. Бір тест өтуі үшін рекурсияны барлық желіге ашу — сыналып жатқан өзгерістен әлдеқайда үлкен өзгеріс. Рұқсат етілген диапазонды ереженің қасына жазыңыз, өйткені келесі шолушы саясат қай көздерге қызмет етуі керек болғанын сұрайды. Иесіз көз диапазоны — уақытша тесттің тұрақты болу жолы.

Бөлінген DNS — дизайн, ақау емес

Кейбір орналастырулар тек жұмыс домендерін жеке шешушіге, қалғанын басқа мақұлданған шешушіге жібереді. Бұл сұраныстарды маршруттау дизайны, және жеке серверге неғұрлым бос саясат керек деген дәлел емес. Ондай дизайнда сыртқы атаудың жеке шешуші арқылы сәтсіз болуы — көзделген нәтиже, ақау емес. Бас тарту — дизайнның жұмыс істеуі, басылуға тиісті симптом емес.

Ашық шешуші шолуды қалпына келтіріп, бірақ ішкі атауларды бұзуы немесе жеке сұраныстарды баруға тиіс емес жерге жіберуі мүмкін. Кез келген шешуші мекенжайын өзгертуден бұрын көзделген мінез-құлықты жазыңыз.

Саясатты екі сұраныспен тексеріңіз

Көзделген түзетуден кейін нақты клиенттен рұқсат етілген жеке атауды және сыртқы атауды сұраңыз. Қайтатын нәрсе саясат уәде еткен нәрсе болуы керек, тек тыныш диагностика емес. Әр жауаппен бірге жауап берген серверді жазыңыз, содан кейін жұпты саясатпен салыстырыңыз. Салыстыру — тест, ал бір сәтті іздеу олай емес.

resolvectl query host.corp.example
resolvectl query example.com

Егер жеке атау жұмыс істеп, ашық атаудан бас тартылса, саясат айтқанын орындайды. Егер жеке атау да сәтсіз болса, мәселе аймақта, маршрутта немесе көздің рұқсатында, ал рекурсия — назарды бұру. Екі нәтиже де пайдалы, және әрқайсысы қалған болжамдардың жартысын жоққа шығарады.

Бас тартуды дәлел ретінде оқыңыз

Бас тарту — жауап. Ол сервердің сұранысты алғанын және талап етілген жұмысты орындаудан бас тартқанын білдіреді, бұл ешқашан келмеген пакеттен өзгеше. Осы айырмашылық — бүкіл диагностика. Оны жауап ретінде жазыңыз, байланыс ақауы ретінде емес.

Бұл айырмашылық қайда қарауды айтады: сервер журналдары, оның қатынау саясаты және жазылған көз. Брандмауэр өзгерісі саясаттың бас тартуын түзетпейді, ал саясат өзгерісі жоқ маршрутты түзетпейді. Екі болжамды біреуінде дәлел болғанша бөлек ұстаңыз.

Нәтижені және саясаттың иесін билетке жазыңыз, келесі адам ескертуден емес, шешімнен бастасын. Рұқсат етілген көз диапазонын және тексерген екі атауды атаңыз. Осы үш фактісі бар билетті қайта іске қосуға болады; "рекурсия бұзылған" дейтін билетті бола алмайды.