DNS am Nebula-Liichthaus: wien däerf wéi eng Aschreiwungen ofruffen?
Deen optionelle Lauschterer äntwert aus Hostdaten, déi den Liichthaus hält. A-Aschreiwungen an TXT-Ufroen ënnerscheeden sech an Erreechbarkeit an Public, also bënnt en bewosst.
D'Liichthaus-Roll an Nebula mécht vill Aarbecht, déi d'Leit als automatesch ugesinn, a DNS ze beäntweren ass net eng vun hinnen. Nimm zerwéieren ass en optionelle Lauschterer, deen deaktivéiert start, dofir kann e Host, dee bannent dem Overlay gutt opléist, guer näischt hunn, fir de Laptop vun engem Kolleg opzeléisen. Ier Dir en aschalt, entscheet wien en erreeche soll a wéi eng Aschreiwungstypen Dir bereet sidd ze beäntweren, well déi zwou Äntwerten ënnerscheeden sech.
Den Nolauschterer ass optional a standardméisseg aus
Entdeckung an DNS sinn getrennte Servicer. Den Liichthaus hëlleft Peers sech géigesäiteg ze fannen an kann zousätzlech Nimmufroe beäntweren iwwer Hosts, déi en kennt, awer deen zweeten Deel muss an der Konfiguratioun ausdrécklech ageschalt ginn.
Entscheet ier Dir eppes aktivéiert, wéi eng Schnëttstellen an Netzwierker den Nolauschterer erreeche sollen. En DNS-Service, deen op enger Schnëttstell äntwert, déi Dir net virgesinn hat, gëtt e klengt Informatiounsleck ouni en eenzege Log-Andrag, deen een liest. D'Entscheedung ass elo vill méi bëlleg wéi se méi spéit ze engen, nodeems eppes vun der falscher Äntwert ofhänkt. Zwou Zeilen Konfiguratioun loosse sech méi einfach begrënnen wéi eng Incidentsnotiz an engem hallwe Joer.
A-Aschreiwungen an TXT deele sech keen Public
Déi zwou Aschreiwungstypen gi ënner verschiddene Konditioune beäntwert, an se als ee Service ze behandelen ass de Feeler, deen dësen Artikel verhënnere soll.
| Query | What it returns | Who can reach it |
|---|---|---|
| A record for a host name | That host Nebula IP | Any host that can reach the listener, overlay or not |
| TXT for a host IP | Certificate information | Only over the Nebula network |
Dës Asymmetrie ass bewosst an net eng Ausloossung. Eng Numm-zu-Adress-Zouuerdnung huet enger Friemer wéineg Wäert, wärend Certificatsmetadaten d'Identitéite bannent Ärem Overlay beschreiwen. Iwwerhëlt keng Unhuelung vun enger Zeil an déi aner just well deeselwechte Prozess béid beäntwert.
En äntwert just iwwer d'eegen Hosts vum Liichthaus
Dëst ass keen allgemenge Resolver fir Äert Büro, Äre Cloud-VPC oder den ëffentlechen Internet. Den Liichthaus äntwert aus Hostinformatiounen, déi en krut, dofir wunnt dës Funktioun op Liichthaus-Kniet an net op all Peer.
Wann en Numm feelt, deen näischt mam Overlay ze dinn huet, fannt d'Zon an de Resolver, déi en tatsächlech besëtzen. En Overlay-Resolver an d'allgemeng DNS-Konfiguratioun vun engem Host ze mëschen erzeugt Feeler, déi zoufälleg ausgesinn, well verschidden Nimm sech opléisen an anerer vun näischt beäntwert ginn.
Acht och op de Bootstrap-Entréepunkt. En Hostnumm, dee benotzt gëtt fir den éischten Liichthaus z'erreechen, muss iwwer en normale Wee opgeléist ginn, ier d'Entdeckung drop ka bauen, also gesäit en Hunn-an-Ee-Problem hei genee aus wéi en futti Overlay. Et mellt sech souguer op déiselwecht Aart: e Peer, deen ni eropkënnt an keen offensichtleche Grond. Préift d'Nimmopbeaarbechtung ier Dir Certificater beréiert, well dës Reihenfolg d'Leit fänkt, déi mat der schwéierer Hallschent ugefaang hunn.
Préift d'Bind-Adress a test dann vun dobaussen
lighthouse.dns.host an lighthouse.dns.port entscheeden, wou deen optionelle Service lauschtert. Kuckt dës Wäerter zesumme mat der Host-Firewall an der Netzwierkpolitik no, well eng Bind-Adress eng Absichtserklärung ass an net eng Sécherheetskontroll fir sech.
dig @10.42.0.1 -p 53 workstation.nebula A +short
dig @10.42.0.1 -p 53 10.42.0.7 TXT +shortFrot aus den Netzwierker, déi Dir wëllt zouloussen, net vum Liichthaus selwer. En erfollegräiche Lookup um Liichthaus beweist, datt de Prozess leeft, an erzielt Iech näischt doriwwer, wat en externen Host froe kann, an dat ass d'Fro déi wierklech zielt.
Stellt en bewosst bereet
Nimm a Certificatsmetadaten sinn nëtzlech Betribsinformatiounen, an Nëtzlechkeet schneid a béid Richtungen. Entscheet ob den Nolauschterer just fir den Overlay soll sinn, wéi eng Aschreiwungstypen erlaabt sinn a wien d'Konfiguratioun iwwerkuckt, wann se sech änneret.
Schreift et duerno nieft den Astellunge vum Liichthaus op. Déi nächst Persoun, déi e Resolutiounsfeeler debuggt, wäert soss unhuelen, datt de Service ëmmer do war. Si wäert och unhuelen, datt en ëmmer erreechbar war vu wou se just test. Een Abschnitt mat der Bind-Adress, den erlaabten Netzwierker an den Aschreiwungstypen spuert där Persoun en Nomëtteg a spuert Iech eng Noriicht, déi freet firwat eppes geännert huet.