Эки сайт, бир жеке DNS зонасы: жазуулар кимдики?

Сиз жашыл сайтка хост кошосуз, ал жашыл колдонуучулар үчүн чечилет, ал эми сары кеңсе дагы эле NXDOMAIN алат. Бул VPN бузулушу да, бузулган чечүүчү да эмес; бул жеке зонадагы ээлик боштугу. Эки өзүнчө түзөтүлгөн жазуу тизмеси сайттар бири-бирине жете алгандыктан гана бир зонага айланбайт. Чечим — жарыялоо планы, дагы бир брандмауэр эрежеси эмес.

Симптом жок болгон ээсин атайт

Балким, ар бир сайтта бирөө ат керек болгондо кошкон жергиликтүү кайра аныктоо, Pi-hole жазуусу же dnsmasq сабы бар. Жашыл жазуу жашыл чечүүчүдө гана бар, ошондуктан сары сайттагы кардар өзүнүн чечүүчүсүнөн сурайт жана чыныгы "мындай ат жок" деген жооп алат. Эскирген жооп башкача көрүнөт: хост көчүп кетти, бир сайт өз көчүрмөсүн жаңыртты, экинчиси дагы эле эски даректи кайтарат.

Эки үлгүнүн бири да кэшти тазалоо менен узак убакыт оңдолбойт. Кайра багыттоочу чечүүчүнүн кэши бир жолу алган жооптун көчүрмөсү, жаңы аттарды жарыялаган ыйгарым укук эмес, ошондуктан бүгүн иштеген кэш эртеңки хост жөнүндө эч нерсе айтпайт. BIND документтеринде негизги, экинчи, рекурсивдүү жана кайра багыттоочу ролдор дал ушул себептен өзүнчө сүрөттөлөт.

Ошентип, долбоор суроосу тар жана жооп берүүгө болот: жазууну ким түзө алат жана ал жазуу ага жооп бериши керек болгон ар бир чечүүчүгө кантип жетет?

A варианты: экинчилер менен бир ыйгарым укуктуу зона

internal.example.com үчүн негизгини иштетип, колдоого алынган экинчилерге зонаны ар бир сайтта алууга жол бериңиз. Ар бир сайттын рекурсивдүү чечүүчүсү өзүнүн жергиликтүү экинчисинен сурайт, ошондуктан жооптор кэштен эмес, ыйгарым укуктуу булактан келет жана бир жолу жасалган өзгөртүү кайра терүүнүн ордуна өткөрүлөт.

Мындай жайгаштыруу кийинкиге калтыруу оңой жана өткөрүп жиберүү кымбат болгон ачык чечимдерди талап кылат. Зонаны ким түзөтө алат? Кайсы серверлерге аны өткөрүүгө уруксат берилген жана кайсы даректер аркылуу? Сайттардын ортосундагы туннель өчүк турганда кардарлар эмнени көрүшү керек? Экинчи өзүнүн акыркы көчүрмөсүнөн жооп берүүнү улантат, бул адатта каалаган жүрүм-турум, бирок ал жарыяланган тандоо болушу керек, үзгүлтүк учурундагы күтүүсүздүк эмес.

Зона өткөрүүлөрүн дарек боюнча белгилүү экинчилер менен чектеп, ишке ашыруу колдогон жерлерде транзакция кол тамгаларын колдонуңуз. Ачык өткөрүү — портка жете алган ар ким үчүн ички ат мейкиндигиңиздин көчүрмөсү.

Баасы — координация: бир түзөтүү жолу, бир өзгөртүү кароосу жана жазуу туура эмес болгондо ким кезекте экени тууралуу жалпы түшүнүк.

B варианты: ар бир сайт үчүн субдомен

green.internal.example.com жашыл сайтка, yellow.internal.example.com сары сайтка делегациялаңыз. Ар бир сайт өз аттары үчүн ыйгарым укуктуу болот, ал эми ата-эне зона делегация жазууларын гана алып жүрөт. Бир файл үчүн талаш жоюлат жана жергиликтүү команда борбордук өзгөртүүнү күтпөстөн хост кошо алат.

Делегация ата-эне зонада болушу керек, сайттын ыйгарым укуктуу серверлерине шилтеме кылган NS жазуулары менен. Толук делегация практикалык болбогондо субдомен үчүн шарттуу кайра багыттоо жарактуу альтернатива, бирок бул чечүүчү жөндөөсү, жарыяланган факт эмес, ошондуктан ар бир чечүүчүгө бирдей эреже керек.

Баасы жоголуунун ордуна орун которот: ата-эне зонага дагы эле ээ керек, ал эми жаңы сайт түзүү эми бир эмес, эки жерде өзгөртүү.

Ар бир чечүүчү тандоону аткарсын

Кардарларга бекитилген чечүүчүнү жана издөө доменин колдоого алынган конфигурация аркылуу бериңиз жана төмөнкүгө көз жеткириңиз: чечүүчүнүн сурашы керек болгон ар кандай алыскы DNS серверине уруксат берилген VPN маршруту бар. Колдонмолорго да бул жооптор кайтарган жеке даректерге маршруттар керек, анткени жолу жок туура ат да бузулган байланыш бойдон калат.

Эгер Pi-hole жергиликтүү чечимди камсыз кылса, кайсы жазуулар ага таандык жана кайсы сурамжылоолорду кайра багыттай турганын жазып коюңуз. Эки өзүнчө түзөтүлгөн Pi-hole тизмеси дагы эле репликацияланбайт. Pi-hole v6-да ыңгайлаштырылган dnsmasq саптары TOML, CLI же чөйрө өзгөрмөлөрү сыяктуу хост тараптагы опциялар аркылуу коюлат жана API аркылуу көрсөтүлбөйт; /etc/dnsmasq.d/ файлдарын жүктөө демейки боюнча өчүк турган өзүнчө опция.

Анан бардык жерде көрүнүшү керек болгон ат менен эки тараптан тең сынап көрүңүз:

$ dig +short newhost.green.internal.example.com @10.20.0.53
10.20.0.41
$ dig +short newhost.green.internal.example.com @10.30.0.53
10.20.0.41
$ dig SOA internal.example.com @10.30.0.53

SOA жообу сары чечүүчү өзүн ыйгарым укуктуу деп эсептейби, экинчиден сурайбы же жөн гана кайра багыттайбы — ошону айтат. Булар ар башка бузулуу режимдери бар ар башка долбоорлор, жана жооп адатта кайсынысын иш жүзүндө киргизгениңизди аныктайт.

Үч кабыл алуу учуру менен бүтүрүңүз: ар бир сайттан бир ат, бир сааттын ичинде өзгөртүлгөн бир жазуу жана сайттардын ортосундагы байланыштын жеткиликсиздиги. Бир гана биринчисин өткөргөн долбоордун кагаз жүзүндө жарыялоо планы, өндүрүштө жергиликтүү кайра аныктоосу бар.