Рекурсия жеткиликсиз: DNS саясаты, бузулган туннел эмес

Ички ат чечилет, жана ошол эле сервер тышкы атка рекурсия тууралуу баш тартуу менен жооп берет. Бул айкалыш каршылык эмес. Өз зоналарын жарыялоо жана бүт интернетти чечүү — сервер сунуштай ала турган эки өзүнчө кызмат, жана ал биринчисин экинчисиз аткара алат. Баш тартууну саясат билдирүүсү катары кабыл алып, андан кийин саясат долбоорго туура келеби текшериңиз.

Баш тартуу жана убакыт бүтүү — ар башка жооптор

Атты, суроо түрүн, жооп берген серверди, статусту жана кайтарылган жазууларды жазыңыз. Рекурсия эскертүүсү аны менен келген ыйгарым укуктуу жоопту автоматтык түрдө жокко чыгарбайт. Статусту түшүндүрүүдөн мурун жазыңыз. Бир сааттан кийин эстен калыбына келтирилген статус — башка факт.

DNS аталышы рекурсия суроосун жана сервер аны сунуштайбы деген белгини алып жүрөт, ал эми протокол спецификациясы бул желелерди жооп маалыматтарынан өзүнчө сактайт. Ошондуктан жооп пайдалуу болуп, ошол эле учурда нааразылык алып жүрүшү мүмкүн. Убакыт бүтүү, терс жооп жана баш тартуу — үч башка натыйжа. Ар бири башка катмарга көрсөтөт, жана сервердин сизге саясат тууралуу айтышы — баш тартуу гана.

Алгач статус кодун окуңуз, андан кийин эскертүү бул суроо үчүн маанилүүбү чечиңиз. Зонаны атаган ыйгарым укуктуу жооп рекурсивдик бит четке кагылса да колдонулат. Жоопсуз баш тартуу — саясаттын натыйжасы, бузулган пакет жолу эмес.

Чечүүчү сиздин булагыңыз катары эмнени жазды

Кардар сервердин уруксат берилген рекурсивдик диапазондорунан тышкаркы дарек пулунан келиши мүмкүн, же которуу аны шлюз сыяктуу көрсөтүшү мүмкүн. Кардардын өз адаптер дареги чечүүчү эмнени алганына далил эмес. Жолдун өз жагыңыздан божомолдоонун ордуна сервердин администраторунан байкалган булакты сураңыз. Эки дарек которуучу ар бир секирикте айырмаланышы мүмкүн.

Ошол эле атты кардардан жана сервер ишенген хосттон сураңыз. Эки жооптун айырмасы — булак шарты, жана ал каалаган жалгыз жооптон пайдалуу.

dig +short host.corp.example
dig +short example.com

Эгер жайгаштыруу VPN кардарлары үчүн рекурсияны кааласа, администратор сервердин өз башкаруу куралдары аркылуу тиешелүү булак диапазонун уруксаттайт. Бир тест өтүшү үчүн рекурсияны бардык тармакка ачуу — сыналып жаткан өзгөрүүдөн алда канча чоң өзгөрүү. Уруксат берилген диапазонду эреженин жанына жазыңыз, анткени кийинки кароочу саясат кайсы булактарга кызмат кылышы керек болгонун сурайт. Ээсиз булак диапазону — убактылуу тесттин туруктуу болушунун жолу.

Бөлүнгөн DNS — долбоор, бузуктук эмес

Кээ бир жайгаштыруулар жумуш домендерин гана жеке чечүүчүгө, калганын башка бекитилген чечүүчүгө жиберет. Бул суроолорду маршруттоо долбоору, жана жеке серверге эркин саясат керек деген далил эмес. Ошондой долбоордо тышкы аттын жеке чечүүчү аркылуу ишке ашпоосу — көздөлгөн натыйжа, бузуктук эмес. Баш тартуу — долбоордун иштеши, басыла турган симптом эмес.

Ачык чечүүчү серептөөнү кайтарып, бирок ички аттарды бузушу же жеке суроолорду барбай турган жерге жибериши мүмкүн. Каалаган чечүүчү дарегин өзгөртүүдөн мурун көздөлгөн жүрүм-турумду жазыңыз.

Саясатты эки суроо менен текшериңиз

Көздөлгөн оңдоодон кийин чыныгы кардардан уруксат берилген жеке атты жана тышкы атты сураңыз. Кайткан нерсе саясат убада кылган нерсе болушу керек, жөн гана тынч диагностика эмес. Ар бир жооп менен жооп берген серверди жазыңыз, андан кийин жупту саясат менен салыштырыңыз. Салыштыруу — тест, ал эми бир ийгиликтүү издөө андай эмес.

resolvectl query host.corp.example
resolvectl query example.com

Эгер жеке ат иштеп, ачык атка баш тартылса, саясат айтканын аткарат. Эгер жеке ат да ишке ашпаса, маселе зонада, маршрутта же булактын уруксатында, ал эми рекурсия — көңүлдү бургулоо. Эки натыйжа тең пайдалуу, жана ар бири калган божомолдордун жарымын жокко чыгарат.

Баш тартууну далил катары окуңуз

Баш тартуу — жооп. Ал сервер суроону алып, талап кылынган ишти аткаруудан баш тартканын билдирет, бул эч качан келбеген пакеттен айырмаланат. Ошол айырма — бүт диагностика. Аны жооп катары жазыңыз, байланыш бузуктугу катары эмес.

Бул айырма кайда кароону айтат: сервердин журналдары, анын кирүү саясаты жана жазылган булак. Брандмауэрдин өзгөрүүсү саясаттын баш тартуусун оңдой албайт, ал эми саясаттын өзгөрүүсү жок маршрутту оңдой албайт. Эки божомолду биринин далили болгонго чейин өзүнчө кармаңыз.

Натыйжаны жана саясаттын ээсин билетке жазыңыз, кийинки адам эскертүүдөн эмес, чечимден баштасын. Уруксат берилген булак диапазонун жана текшерген эки атты атаңыз. Ошол үч фактысы бар билетти кайра иштетүүгө болот; "рекурсия бузулган" деген билетти болбойт.