ಖಾಸಗಿ DNS VPC ಯಲ್ಲಿ ಕೆಲಸ ಮಾಡುತ್ತದೆ ಆದರೆ VPN ನಲ್ಲಿ ಅಲ್ಲ
EC2 ಒಳಗೆ ಪರಿಹಾರವಾಗುವ ಆದರೆ VPN ನಲ್ಲಿ ಪರಿಹಾರವಾಗದ ಖಾಸಗಿ ಹೆಸರು resolver ಮಾರ್ಗದ ಸಮಸ್ಯೆ. ವಲಯ ದಾಖಲೆಯನ್ನು ಸಂಪಾದಿಸುವ ಮೊದಲು ವೈಫಲ್ಯದ ಆಕಾರವನ್ನು ಓದಿ.
ಖಾಸಗಿ ಹೆಸರೊಂದು EC2 ಉದಾಹರಣೆಯಿಂದ ಪರಿಹಾರವಾಗುತ್ತದೆ ಆದರೆ VPN ಮೂಲಕ ಸಂಪರ್ಕಗೊಂಡ ಲ್ಯಾಪ್ಟಾಪ್ನಿಂದ ಅಲ್ಲ, ಮತ್ತು ವಲಯವು ಕನ್ಸೋಲ್ನಲ್ಲಿ ಸರಿಯಾಗಿ ಕಾಣುತ್ತದೆ. ಮೊದಲ ಪ್ರವೃತ್ತಿ ದಾಖಲೆಯನ್ನು ಸಂಪಾದಿಸುವುದು, ಅದು ಬಹುತೇಕ ಎಂದಿಗೂ ಸಮಸ್ಯೆ ಅಲ್ಲ. ದಾಖಲೆ ಯಾರಿಗೋ ಉತ್ತರಿಸುತ್ತಿದೆ; ನಿಮ್ಮ ಲ್ಯಾಪ್ಟಾಪ್ಗೆ ಮಾತ್ರ ಉತ್ತರಿಸುತ್ತಿಲ್ಲ. ಎರಡು ಕರೆಗಾರರ ನಡುವಿನ ವ್ಯತ್ಯಾಸವೆಂದರೆ ಅವರು ಯಾವ resolver ಅನ್ನು ಕೇಳುತ್ತಾರೆ ಮತ್ತು ಆ resolver ಗೆ VPC ಯ DNS ನೋಟಕ್ಕೆ ಬೆಂಬಲಿತ ಮಾರ್ಗವಿದೆಯೇ ಎಂಬುದು.
ದಾಖಲೆ ಇದೆ ಎಂದು ಸಾಬೀತುಪಡಿಸುವುದರಿಂದ ಪ್ರಾರಂಭಿಸುತ್ತೇನೆ, ಉಳಿದ ಸಮಯವನ್ನು ಪ್ರಶ್ನೆ ಮಾರ್ಗದಲ್ಲಿ ಕಳೆಯುತ್ತೇನೆ. ಇವು ಪ್ರತ್ಯೇಕ ವ್ಯವಸ್ಥೆಗಳು ಮತ್ತು ವಿಭಿನ್ನ ರೀತಿಯಲ್ಲಿ ವಿಫಲವಾಗುತ್ತವೆ.
ಏನನ್ನಾದರೂ ಬದಲಿಸುವ ಮೊದಲು ವೈಫಲ್ಯದ ಆಕಾರವನ್ನು ಓದಿ
ಮೂರು ಫಲಿತಾಂಶಗಳು ಮೂರು ಬೇರೆ ವಿಷಯಗಳನ್ನು ಸೂಚಿಸುತ್ತವೆ, ಮತ್ತು ಒಂದು ಪ್ರಶ್ನೆ ಅವುಗಳನ್ನು ಬೇರ್ಪಡಿಸುತ್ತದೆ: ಕ್ಲೈಂಟ್ ನಿಜವಾಗಿ ಬಳಸುತ್ತಿರುವ resolver ಗೆ ವಿರುದ್ಧವಾಗಿ ಹೆಸರಿಗೆ dig ಚಲಾಯಿಸಿ.
| What you see | What it usually means | First thing to check |
|---|---|---|
| SERVFAIL, or a timeout after several seconds | No path to the resolver, or the resolver cannot reach AWS | Route to the endpoint and the security policy on port 53 |
| NXDOMAIN from a resolver that did answer | The resolver replied, but the zone is not in its view | Zone association or the forwarding rule for that namespace |
| A public address for an internal name | Split DNS is not in effect for this client | Which resolver the client is configured to use |
ಸಮಯ ಮುಗಿಯುವುದು ನೆಟ್ವರ್ಕ್ ಬಗ್ಗೆ ಒಂದು ಹೇಳಿಕೆ. NXDOMAIN ಎಂಬುದು DNS ನೋಟದ ಬಗ್ಗೆ ಹೇಳಿಕೆ. ಸಾರ್ವಜನಿಕ ಉತ್ತರ ನೀತಿಯ ಬಗ್ಗೆ ಹೇಳಿಕೆ. ಸಮಯ ಮುಗಿಯುತ್ತಿರುವಾಗ ವಲಯ ದಾಖಲೆಯನ್ನು ಸಂಪಾದಿಸುವುದು ಪ್ರಕರಣದ ಏಕೈಕ ಉಪಯುಕ್ತ ಸಾಕ್ಷ್ಯವನ್ನು ಎಸೆಯುತ್ತದೆ.
VPC ಯ ಪ್ಲಸ್-ಎರಡು ವಿಳಾಸ ಏಕೆ ದೂರದ resolver ಅಲ್ಲ
CIDR ಪ್ಲಸ್-ಎರಡು ವಿಳಾಸ VPC ಒಳಗಿನ ಸಂಪನ್ಮೂಲಗಳಿಗೆ ಸ್ಥಳೀಯ ಸೇವೆ. ಸ್ಥಳೀಯ ನೆಟ್ವರ್ಕ್ಗಳಿಂದ, ಅಥವಾ ಇನ್ನೊಂದು VPC ಯ DNS ಸರ್ವರ್ಗಳಿಂದ, ಪ್ರಶ್ನೆಗಳನ್ನು ನೇರವಾಗಿ ಆ ವಿಳಾಸಕ್ಕೆ ಕಳುಹಿಸುವುದು ಬೆಂಬಲಿತವಲ್ಲ ಮತ್ತು ಅಸ್ಥಿರ ಫಲಿತಾಂಶ ನೀಡಬಹುದು ಎಂದು AWS ದಾಖಲಿಸುತ್ತದೆ.
ಇದರರ್ಥ ಪ್ರಯೋಗ ಎಂದಿಗೂ ಕೆಲಸ ಮಾಡುತ್ತಿರುವಂತೆ ಕಾಣುವುದಿಲ್ಲ ಎಂದಲ್ಲ. ಇದರರ್ಥ ವರ್ತನೆ ಸಹಾಯ ಸ್ಕ್ರಿಪ್ಟ್ನಲ್ಲಿ ಇಡಬಹುದಾದ ಒಪ್ಪಂದವಲ್ಲ. ಬೆಂಬಲಿತ ದಿಕ್ಕು ಒಳಬರುವ Resolver ಎಂಡ್ಪಾಯಿಂಟ್: ನಿಮ್ಮ VPC ಒಳಗೆ ವಿಳಾಸಗಳ ಜೋಡಿ, ನಿಮ್ಮ ನಿಯಂತ್ರಣದ ನೆಟ್ವರ್ಕ್ನಿಂದ ತಲುಪಬಹುದಾದದ್ದು, AWS ನ ಹೊರಗಿನಿಂದ ಬರುವ ಪ್ರಶ್ನೆಗಳನ್ನು ಸ್ವೀಕರಿಸುತ್ತದೆ.
ಮಾರ್ಗವನ್ನು ಅದು ಸ್ವಚ್ಛವಾಗಿ ವಿಫಲವಾಗುವ ಕ್ರಮದಲ್ಲಿ ನಿರ್ಮಿಸಿ
ಮೂರು ಹಾಪ್ಗಳು ಇರಬೇಕು, ಮತ್ತು ಪ್ರತಿಯೊಂದಕ್ಕೂ ತನ್ನದೇ ವೈಫಲ್ಯ ವಿಧಾನವಿದೆ.
VPN client -> approved DNS forwarder
forwarder -> forwarding rule for internal.example
forwarding rule -> Resolver inbound endpoint addressesಫಾರ್ವರ್ಡರ್ಗೆ VPN ಮೂಲಕ ಎಂಡ್ಪಾಯಿಂಟ್ ವಿಳಾಸಗಳಿಗೆ ಮಾರ್ಗ ಬೇಕು, ಮತ್ತು ಹಿಂತಿರುಗುವ ಮಾರ್ಗವೂ ಕೆಲಸ ಮಾಡಬೇಕು. ಪೋರ್ಟ್ 53 ರ ಸಾಂಪ್ರದಾಯಿಕ DNS ಗಾಗಿ ಎಂಡ್ಪಾಯಿಂಟ್ UDP ಮತ್ತು TCP ಮೇಲೆ ಉತ್ತರಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಎರಡೂ ಪ್ರೋಟೋಕಾಲ್ಗಳಿಗೆ ಅನುಮತಿ ಬೇಕು ಮತ್ತು ಎರಡೂ ಮಧ್ಯದ ಯಾವುದೇ ಸ್ಥಿತಿ ತಪಾಸಣೆಯನ್ನು ದಾಟಬೇಕು.
ನಂತರ DNS ನೋಟವನ್ನು ಪ್ರತ್ಯೇಕವಾಗಿ ಪರಿಶೀಲಿಸಿ. ಖಾಸಗಿ ಹೋಸ್ಟ್ ಮಾಡಿದ ವಲಯವು ಅದು ಸಂಬಂಧಿಸಿದ VPC ಗಳಿಗೆ ಮಾತ್ರ ಕಾಣುತ್ತದೆ, ಅಥವಾ ಉದ್ದೇಶಪೂರ್ವಕ ಹಂಚಿಕೆ ವ್ಯವಸ್ಥೆಯ ಮೂಲಕ. ತಲುಪಬಹುದಾದ ಎಂಡ್ಪಾಯಿಂಟ್ ತನ್ನಷ್ಟಕ್ಕೇ ಪ್ರತಿ ಖಾಸಗಿ ವಲಯವನ್ನು ಅದರ ಪರಿಹಾರ ಸಂದರ್ಭದಲ್ಲಿ ಪರಿಹರಿಸಬಹುದಾದದ್ದನ್ನಾಗಿ ಮಾಡುವುದಿಲ್ಲ.
ಹೊರಹೋಗುವ ಎಂಡ್ಪಾಯಿಂಟ್ ವಿರುದ್ಧ ದಿಕ್ಕಿಗೆ ಸೇವೆ ಸಲ್ಲಿಸುತ್ತದೆ ಮತ್ತು ನಿಮ್ಮ ಲ್ಯಾಪ್ಟಾಪ್ನಿಂದ ಬರುವ ಪ್ರಶ್ನೆಗೆ ಉತ್ತರಿಸುವುದಿಲ್ಲ.
ಎರಡೂ ತುದಿಗಳಿಂದ ಪರಿಶೀಲಿಸಿ
ಕ್ಲೈಂಟ್ನಿಂದ ಫಾರ್ವರ್ಡರ್ಗೆ ವಿರುದ್ಧವಾಗಿ ಪ್ರಶ್ನಿಸಿ, ನಂತರ ಫಾರ್ವರ್ಡರ್ನಿಂದ ಎಂಡ್ಪಾಯಿಂಟ್ಗೆ ವಿರುದ್ಧವಾಗಿ. ಕ್ಲೈಂಟ್ ವಿಫಲವಾದರೆ ಫಾರ್ವರ್ಡರ್ ಯಶಸ್ವಿಯಾದರೆ, ಅಂತರ ಆ ಎರಡರ ನಡುವೆ ಇರುತ್ತದೆ.
ಎರಡೂ ವಿಫಲವಾದರೆ, ಎಂಡ್ಪಾಯಿಂಟ್ನ ಭದ್ರತಾ ನೀತಿ ಮತ್ತು ಅದು ನಿಜವಾಗಿ ನೋಡುವ ಮೂಲ ವಿಳಾಸವನ್ನು ನೋಡಿ. NAT ಹಿಂದಿನ ಫಾರ್ವರ್ಡರ್ ಲ್ಯಾಪ್ಟಾಪ್ನ VPN ವಿಳಾಸದ ಬದಲು NAT ವಿಳಾಸವನ್ನು ಪ್ರಸ್ತುತಪಡಿಸುತ್ತದೆ, ಮತ್ತು ಆ ವ್ಯತ್ಯಾಸವೊಂದೇ ಪ್ರಶ್ನೆಯನ್ನು ಉರುಳಿಸಲು ಸಾಕು. ಎರಡೂ ಯಶಸ್ವಿಯಾದರೂ ಅಪ್ಲಿಕೇಶನ್ ಇನ್ನೂ ವಿಫಲವಾದರೆ, ಅಪ್ಲಿಕೇಶನ್ ನೀವು ಪರೀಕ್ಷಿಸಿದ್ದಕ್ಕಿಂತ ಬೇರೆ resolver ಬಳಸುತ್ತಿರಬಹುದು.
ಸಾರ್ವಜನಿಕ ಮತ್ತು ಖಾಸಗಿ ಹೆಸರಿನ ಸ್ಥಳಗಳನ್ನು ಉದ್ದೇಶಪೂರ್ವಕವಾಗಿ ಪ್ರತ್ಯೇಕವಾಗಿ ಇರಿಸಿ. Split DNS ಎಂಬುದು ನೀವು ಕಾನ್ಫಿಗರ್ ಮಾಡುವ ನೀತಿ, ಒಂದು ಹುಡುಕಾಟ ಆಕಸ್ಮಿಕವಾಗಿ ಡೇಟಾ ಹಿಂತಿರುಗಿಸುವ ಅಡ್ಡಪರಿಣಾಮವಲ್ಲ.
ನಾನು ಮಾಡದಿರುವುದು
ಒಂದು ಹುಡುಕಾಟವನ್ನು ನಡೆಸಿದ NAT ನಿಯಮವನ್ನು ಸೇರಿಸಿ ಅದನ್ನು ವಿನ್ಯಾಸ ಎಂದು ಹೇಳುವುದಿಲ್ಲ.
ಒಂದು ಪರೀಕ್ಷೆ ಒಮ್ಮೆ ದಾಖಲೆ ಹಿಂತಿರುಗಿಸಿತು ಎಂದು ನಾನು ಪ್ರತಿ ದೂರದ ಕ್ಲೈಂಟ್ ಅನ್ನು ಪ್ಲಸ್-ಎರಡು ವಿಳಾಸದ ಕಡೆಗೆ ತಿರುಗಿಸುವುದಿಲ್ಲ. ಮತ್ತು ಒಂದೇ ಫಾರ್ವರ್ಡರ್ಗೆ ಪ್ರವೇಶ ಬೇಕಾದಾಗ ಎಂಡ್ಪಾಯಿಂಟ್ನ ಭದ್ರತಾ ನೀತಿಯನ್ನು ಇಡೀ VPN ಪೂಲ್ಗೆ ವಿಸ್ತರಿಸುವುದಿಲ್ಲ. ಸಂಸ್ಥೆ ಈಗಾಗಲೇ VPC ಒಳಗೆ ಅನುಮೋದಿತ ಫಾರ್ವರ್ಡರ್ ನಡೆಸುತ್ತಿದ್ದರೆ, ಮೊದಲು ಆ ವಿನ್ಯಾಸವನ್ನು ಓದಿ, ಏಕೆಂದರೆ ನೀವು ಸೇರಿಸುವ ಎರಡನೇ ಎಂಡ್ಪಾಯಿಂಟ್ ಯಾರೂ ದಾಖಲಿಸದಿರುವುದು.