VPN аркылуу NXDOMAIN туннелдин иштен чыгышын билдирбейт

Бир ийгиликсиз издөөнү туннелдин кулашынын далили катары окуу азгырат, айрыкча ат он мүнөт мурун иштеп турган болсо. Жооп башкача айтат. NXDOMAIN — аякталган DNS транзакциясы, анда чечүүчү суралган ат жок экенин билдирген; бузулган туннел адатта тынчтык, убакыттын бүтүшү же туура эмес серверге каршы чечүү аракетин жаратат. wireshark жок версиядагы далил — бир суроо, бир жооп берүүчү жана бир жооп коду, жана кандайдыр бир конфигурация өзгөртүүдөн мурун бул үчтүктү жазып алууга татыктуу.

Жооп чындыгында эмнени далилдейт

DNS кардарлар көбүнчө бир ийгиликсиздикке бириктирген натыйжаларды ажыратат. Жок ат NXDOMAIN коду менен терс жооп берет, ал эми бар болуп, бирок суралган түрдөгү жазуусу жок ат бош жооп бөлүмү менен ийгиликтүү жооп берет. Экөө тең колдонмого пайдасыз көрүнөт, жана алардын бирөө гана аттын туура эмес экенин билдирет.

Бул айырма оңдоонун кайда экенин чечет. A жазуусу бар хосттогу жок AAAA жазуусу хосттун жоктугун билдирбейт, жана анын артынан түшүү үчүн сертификатты кайра берүү же туннелди кайра куруу жалгыз жеткиликтүү белгини текке кетирет. Айырма ошондой эле уландынын формасын аныктайт: ат маселеси зонада оңдолот, ал эми түр маселеси туура жазууну суроо менен же даректер үй-бүлөсү жөн гана жок экенин кабыл алуу менен оңдолот.

Уламыш: жеке аттын жоктугу туннелдин ийгиликсиздигин билдирет

Уламыш жашайт, анткени бул эки окуя көп учурда чогуу келет. Кардар VPNге туташат, операциялык система мурун ишенген чечүүчүсүн сактайт, жана азыр керектүү ички ат жеке зона жөнүндө эч угуп көрбөгөн серверден суралат. Ал сервер чынчыл жана терс жооп берет. Туннел пакетти ташып жатат; жооп жооп берүүчү тейлебеген ат мейкиндиги жөнүндө гана.

Split-horizon конфигурациялары муну күнүмдүк кылат: ушул эле зона аты ачык жана ички жакта ар башка мазмун менен бар, жана жеке жазууларды ички чечүүчү гана билет. Ошондуктан авторитеттүү көрүнгөн терс жооп алуу кайсы чечүүчү жооп бергенин далилдейт, интерфейстин абалын эмес.

Натыйжаны эки конфигурация деталы чечет. Туннел ички чечүүчүнү түртүшү же тандашы керек, жана кардар бул тандоону изделип жаткан атка колдонушу керек. Сиз терген жазуудан бир аз башкача уланды атаган домен боюнча эреже суроону ачык жолго жиберет, жана жооп туура жана пайдасыз болот.

Туура ат менен туура чечүүчүдөн сураңыз

Өкүмдү жазып алуудан мурун жооп берүүчүнү жазып алыңыз. Кайсы сервер жооп бергенин көрсөтпөгөн издөө саясат маселесин ат мейкиндиги маселесинен ажырата албайт, жана экөөнүн оңдоолору байланышсыз.

resolvectl query vpn.internal.example
resolvectl status | grep -A3 'DNS Servers'
dig +search app.intranet.example A
dig @10.8.0.1 app.intranet.example A

Биринчи эки сап жергиликтүү чечүүчү эмнени чечкенин жана кимден сураарын көрсөтөт. +search издөөсү колдонмо издөө уландысын кошкондо эмне кыларын кайталайт, бул көбүнчө диагностикалык куралга тергизилген суроо эмес, чыныгы суроо. Акыркы сап кардар саясатын айланып өтүп, ички серверден түз сурайт; эгер бул ийгиликтүү болуп, жөнөкөй издөө ийгиликсиз болсо, зона тартипте, ал эми суроолордун маршрутталышы тартипте эмес.

Терс кэштөө оңдоодон кийинки кечигүүнү түшүндүрөт

Терс жооптор дизайн боюнча кэштелет, жана RFC 2308 терс кэштин жашоо узактыгы зонанын авторитеттик жазуусунан кантип алынарын сүрөттөйт. Ошондуктан жазууну же чечүүчү эрежесин оңдоо кардарда дароо өзгөрүү болоруна кепилдик бербейт, жана кэштелген жоопту кайтарып турган издөөнү кайталоо жаңы эч нерсени далилдебейт. Бир гана башка жооп берүүчү, башка ат же тазаланган кэш жаңы далил берет.

Жергиликтүү кэшти тазалаңыз, андан кийин ошол эле жооп берүүчүгө ошол эле суроону кайталаңыз. Жергиликтүү чечүүчү кызматын колдонгон системаларда бул бир буйрук; башкаларында бул кызматты кайра баштоо же платформа куралы, жана конкреттүү курал андан кийин окшош тестти кайталоодон маанилүү эмес.

Атты жолдон бөлүңүз

Ат күтүлгөн жеке дарекке чечилгенден кийин, DNS тема катары бүтөт жана кийинки суроо колдонмо жолу болот. Издөөлөргө жооп берип, бирок туташуудан баш тарткан хосттун маселеси башка, жана туура жооптон кийин чечүүчүлөрдү жөнгө салууну улантуу окуянын үч байланышсыз өзгөрүү алышынын жолу. Экөө шайкеш келет деп ойлоодон мурун чечилген даректи кызмат чындыгында угуп жаткан дарек менен салыштырыңыз.

Жазууну сактаңыз: суроо, жооп берүүчү, код жана чечилген дарек. Ошол жазуу кийинки отчетту текшерүүгө мүмкүн кылат, жана ал диагноз менен жай көрүнгөн туннел тууралуу окуянын айырмасы.