Жеке DNS VPC ичинде иштейт, бирок VPN аркылуу эмес
EC2 ичинде чечилген, бирок VPN аркылуу чечилбеген жеке ат — бул resolver жолунун маселеси. Зона жазуусун өзгөртүүдөн мурун бузулуу формасын окуп чыгыңыз.
Жеке ат EC2 инстанциясынан чечилет, бирок VPN аркылуу туташкан ноутбуктан чечилбейт, ал эми зона консолдо туура көрүнөт. Биринчи түрткү — жазууну оңдоо, бирок бул дээрлик эч качан маселе эмес. Жазуу бирөөгө жооп берет; жөн гана сиздин ноутбукуңузга жооп бербейт. Эки чакыруучунун ортосундагы айырма — алар кайсы resolver сурашат жана ал resolverдин VPCнин DNS көрүнүшүнө колдоого алынган жолу барбы.
Мен жазуунун бар экенин далилдөөдөн баштайм, калган убакытты суроо жолуна жумшайм. Булар өзүнчө системалар жана алар ар кандай түрдө иштебей калат.
Бир нерсени өзгөртүүдөн мурун бузулуу формасын окуңуз
Үч натыйжа үч башка нерсени билдирет, ал эми бир суроо аларды ажыратат: кардар чындап колдонгон resolverге каршы ат үчүн dig иштетиңиз.
| What you see | What it usually means | First thing to check |
|---|---|---|
| SERVFAIL, or a timeout after several seconds | No path to the resolver, or the resolver cannot reach AWS | Route to the endpoint and the security policy on port 53 |
| NXDOMAIN from a resolver that did answer | The resolver replied, but the zone is not in its view | Zone association or the forwarding rule for that namespace |
| A public address for an internal name | Split DNS is not in effect for this client | Which resolver the client is configured to use |
Тайм-аут — бул тармак жөнүндө билдирүү. NXDOMAIN — DNS көрүнүшү жөнүндө билдирүү. Ачык жооп — саясат жөнүндө билдирүү. Тайм-аут учурунда зона жазуусун оңдоо иштеги жалгыз пайдалуу далилди ыргытып салат.
Эмне үчүн VPCдеги плюс эки дарек алыскы resolver эмес
CIDR плюс эки дареги VPC ичиндеги ресурстар үчүн жергиликтүү кызмат. AWS жергиликтүү тармактардан же башка VPCнин DNS серверлеринен суроолорду түз эле ошол дарекке кайра жөнөтүүгө колдоо көрсөтүлбөй турганын жана бул туруксуз натыйжаларды бериши мүмкүн экенин документтешет.
Бул эксперимент эч качан иштеп жаткандай көрүнбөйт дегенди билдирбейт. Бул жүрүм-турумду колдоо скриптине салууга боло турган келишим эмес дегенди билдирет. Колдоого алынган багыт — кирүүчү Resolver endpoint: VPCңиздин ичиндеги, сиз көзөмөлдөгөн тармактан жеткиликтүү, AWS сыртынан келген суроолорду кабыл ала турган дарек жуп.
Жолду таза иштебей калган тартипте куруңуз
Үч секирик болушу керек жана ар биринин өз иштебей калуу жолу бар.
VPN client -> approved DNS forwarder
forwarder -> forwarding rule for internal.example
forwarding rule -> Resolver inbound endpoint addressesКайра жөнөтүүчүгө VPN аркылуу endpoint даректерине маршрут керек, кайтаруу жолу да иштеши керек. 53 портундагы салттуу DNS үчүн endpoint UDP жана TCP аркылуу жооп берет, ошондуктан эки протоколго тең уруксат берилиши керек жана экөө тең жолдогу ар кандай абал текшерүүсүнөн өтүшү керек.
Андан кийин DNS көрүнүшүн өзүнчө текшериңиз. Жеке жайгаштырылган зона ага байланышкан VPCлерге гана көрүнөт же атайын бөлүшүү келишими аркылуу көрүнөт. Жеткиликтүү endpoint өз алдынча ар бир жеке зонаны өзүнүн чечүү контекстинде чечилүүчү кылбайт.
Чыгуучу endpoint карама-каршы багытка кызмат кылат жана ноутбукуңуздан келген суроого жооп бербейт.
Эки тараптан текшериңиз
Кардардан кайра жөнөтүүчүгө карай, анан кайра жөнөтүүчүдөн endpointке карай сураңыз. Кардар иштебей калып, кайра жөнөтүүчү ийгиликтүү болсо, ажырым ошол экөөнүн ортосунда.
Экөө тең иштебей калса, endpointтеги коопсуздук саясатына жана ал чындап көргөн булак дарегине караңыз. NAT артындагы кайра жөнөтүүчү ноутбуктун VPN дарегинин ордуна NAT дарегин көрсөтөт, ал эми ошол айырманын өзү суроону таштоого жетиштүү. Экөө тең ийгиликтүү болсо да колдонмо дагы эле иштебей калса, колдонмо сиз сынагандан башка resolverди колдонуп жаткан болушу мүмкүн.
Ачык жана жеке ат мейкиндиктерин атайын бөлүк кармаңыз. Split DNS — бул сиз конфигурациялаган саясат, бир издөөнүн кокустан маалымат кайтаруусунун жанындагы эффект эмес.
Мен эмнени кылбас элем
Бир издөөнү иштетип койгон NAT эрежесин кошуп, аны дизайн деп атабас элем.
Бир тест бир жолу жазуу кайтарды деп, бардык алыскы кардарларды плюс эки дарекке багыттабас элем. Жана бир гана кайра жөнөтүүчүгө кирүү керек болгондо, endpointтин коопсуздук саясатын бүткүл VPN пулуна кеңейтпес элем. Эгер уюм VPC ичинде бекитилген кайра жөнөтүүчүнү мурунтан кармап турса, адегенде ошол дизайнды окуңуз, анткени сиз кошкон экинчи endpoint — эч ким документтебеген ошол.