Эмне үчүн жеке Route 53 аймагы жалпыга ачык аттар үчүн NXDOMAIN кайтарат

Жеке Route 53 аймактары жалпыга ачык жазуу менен биригип кетүүнүн ордуна аттын жообун алмаштырат, жана бул адамдарды эң жаман учурда таң калтырат. Төмөнкү атка бир ички жазуу кошуңуз: api.example.net үчүн төмөнкү жеке аймакта: example.net, аны VPC менен байланыштырыңыз, жана ошол ата-эненин астындагы бардык башка аттар эми жеке аймактан гана жооп алат. Кечээ www.example.net дарегине жете алган кардар бүгүн терс жооп алат. Төмөнкү баян ошол ийгиликсиз суроодон башталып, ага жооп берген аймакты көздөй сыртка жылат.

Консолдон эмес, суроодон баштаңыз

Кыйроону аны билдирген кардарда кайталаңыз жана так ат менен жазуу түрүн жазып алыңыз. A түрү үчүн ийгиликсиз болгон ат AAAA түрү үчүн дагы эле чечилиши мүмкүн, ал эми кэштеги атты кайра сынап көргөн браузер кайсынысы бузулганын жашырат. Суроону эки жолу аткарыңыз: бир жолу кардар чындап колдонгон resolver аркылуу, бир жолу аны айланып өткөн трейсинг менен.

dig +short api.example.net
dig www.example.net +noall +comments +authority
resolvectl query www.example.net

Экинчи команда маанилүү. Анын абал сабы жана authority бөлүмү жоопту жараткан аймакты атайт, ошондуктан жеке аймактан келген терс жоопту тайм-аут, блоктолгон порт же суроону эч качан албаган resolverден ажырата аласыз. resolvectl кайсы жогорку серверден суралганын көрсөтөт, жана бул көбүнчө VPN жиберди деп ойлогон resolver эмес.

Эгер трейсинг менен алынган суроо жалпыга ачык даректи кайтарса, кадимки суроо кайтарбаса, жалпыга ачык жазуу бүтүн жана жеке көрүнүш жооп берип жатат. Ушул бир салыштыруу ушул барактын калган бөлүгүнүн кайсы жарымы сизге тиешелүү экенин чечет.

Кайсы аймак жооп бергенин окуңуз

Төмөнкүнү камтыган жооп: NXDOMAIN жана authority бөлүмүндө жеке аймактын SOA бар болсо, бул ошол аймактын акыркы жообу, издөөнүн ийгиликсиздиги эмес. Route 53 Resolver жеке хостинг аймагын ат дал келгендиктен тандады, анан суралган түрдөгү жазууну таппады, жана документтелген жүрүм-турум суроону жалпыга ачык DNSке өткөрүүнүн ордуна терс жоопту кайтаруу.

Тандоо тактыкка баш ийет. Бир нече жеке ат мейкиндиги кабатташканда эң так дал келген аймак жеңет, жана кененирээк жеке ата-эне тандалган туунду аймакта жок ат үчүн экинчи мүмкүнчүлүк албайт. Которуу эрежелери дагы бир катмар кошот, анткени доменге тиешелүү Resolver эрежеси жеке хостинг аймагынын байланышынан басымдуу болушу мүмкүн. Аймак бош деп жыйынтык чыгарганга чейин байланыштарды жана эрежелерди тизмелеңиз.

aws route53 list-hosted-zones-by-name --dns-name example.net.
aws route53 list-resource-record-sets --hosted-zone-id Z0EXAMPLEID --query "ResourceRecordSets[?Type=='A'].[Name,ResourceRecords[0].Value]"

Эки команда тең аймакка ээ болгон аккаунттун күбөлүктөрүн талап кылат, ал эми экинчиси биринчиден алынган аймак IDсин талап кылат. Аны өз IDңиз менен алмаштырыңыз; жогорудагы орун толтургуч атайын чыныгы эмес.

Эмне үчүн жеке аймак жеңет

Аймакты VPC үчүн көрүнүктүү кылган байланыш, жана ошол VPC ичиндеги resolver аны колдонот. Кардардын трафиги келген VPC менен байланышпаган жеке аймактын такыр эле таасири жок, ал эми туура эмес VPC менен байланыш туура эмес калкка жеке жооп берет. Жазууларды түзөтүүдөн мурун байланыштардын тизмесин текшериңиз, анткени аймак туура болуп, баары бир көрүнбөй калышы мүмкүн.

Кабатташкан ат мейкиндиктери түшүнбөстүктүн экинчи булагы. example.net үчүн жеке аймак жана api.example.net үчүн жеке аймак экөө тең API суроосуна дал келет, жана тактыраак жооп берет. Бул тар ички ат мейкиндигин каалаганда пайдалуу, ал эми тар аймакта кененирээк аймакта бар жазуу жок болгондо коркунучтуу. Жеке хостинг аймактары тууралуу ойлор Route 53 документтеринде ылдый түшүү жүрүм-турумун да, эрежелердин артыкчылыгын да сүрөттөйт, жана экинчи кабатташкан аймакты кошуудан мурун аларды окуган жөн.

Булардын эч бири жалпыга ачык аймакты өзгөртпөйт. Жалпыга ачык resolverлер жалпыга ачык жазууларга дагы эле туура жооп берет, ошондуктан VPCден сырттагылардын баарына бул кыйроо кардардын көйгөйү болуп көрүнөт.

Жазууларды кошуудан мурун ат мейкиндигин тандаңыз

Эгер жеке аттар ички кызматтардын жаңы үй-бүлөсүнө гана керек болсо, ага өзүнчө жеке субдомен бериңиз жана жалпыга ачык ата-энени тынч калтырыңыз. Мындай ат: internal.example.net төмөнкүнү көлөкөлөй албайт: www.example.net, жана жок жазуунун таасир радиусу ошол максат үчүн ойлоп тапкан аттар менен чектелет. Баасы — мурунку URLдер жана сертификаттар жаңы атка дал келбеши мүмкүн.

Жалпыга ачык жана жеке колдонуучулар бирдей хост атын сакташы керек болгондо, бөлүнгөн көрүнүштүн DNSи колдоого алынган долбоор жана ал ар бир көрүнүштөгү жазууларды ачык түрдө кармоону талап кылат. Бир жазуулуу кенен жеке аймак ошол аймактын астындагы жалпыга ачык көз карандылыктарды сактабайт; аларды бир жазуулуу аймак менен алмаштырат.

Кардарлардын тобун жеке көрүнүшкө буруудан мурун колдонмо чындап чакырган аттарды тизмелеңиз. Кирүү хосттору, статикалык ресурс хосттору, кайра багыттоо максаттары жана API четки чекиттери биринчи бузулат, жана алар адатта бир нече команданын жазууларына чачыраган.

resolverдин жолун, анан маршрутту көзөмөлдөңүз

Ноутбук жеке көрүнүштү анын суроолору байланышы бар resolverге жеткенде гана көрөт. VPN сервериндеги hosts файлын түзөтүү туташкан кардарларга эч нерсе жарыялабайт, жана жалпыга ачык resolver менен конфигурацияланган кардар туннель турган кезде жалпыга ачык жоопторду ала берет. Кардар алган resolver дарегин ырастаңыз, анан суроону серверден эмес, кардардан кайталаңыз.

Ат чечилгенден кийин кайтарылган дарекке чейинки жолду өзүнчө кадам катары текшериңиз, мисалы ip route get менен суроо кайтарган дарекке каршы. Дарекке маршрутсуз туура жеке жооп — маршруттоо көйгөйү, ал эми жазуу жок деген жооп — DNS көрүнүшүнүн көйгөйү; экөөнү бир көйгөй деп кароо туруксуз оңдоолорду берет. Кызматтын TLS хост атын жана сертификат текшерүүлөрүн өзгөртпөй калтырыңыз, анткени жеке дарек байланыштын кайда бараарын өзгөртөт, ал эми кайсы сертификат жарактуу экенине эч нерсени өзгөртпөйт.

Өзгөртүү эскертүүсүндө аймакты, байланышты, resolverди жана текшерген аттарыңызды жазып бүтүрүңүз. Ошондо кийинки жазуу кошкон адам ошол кардарлардын тобу үчүн кайсы ат мейкиндиги ыйгарым укуктуу экенин билет.