NXDOMAIN iwwer eng VPN heescht net, datt den Tunnel ausgefall ass

Et ass verlockend, eng eenzeg feelgeschloe Ufro als Beweis ze liesen, datt den Tunnel zesummegebrach ass, besonnesch wann den Numm zéng Minutte virdru funktionéiert huet. D'Äntwert seet eppes anescht. NXDOMAIN ass eng ofgeschloss DNS-Transaktioun, an där e Resolver erkläert huet, datt den ugefrote Numm net existéiert; en defekten Tunnel produzéiert meeschtens Stille, en Timeout oder e Versuch vun Opléisung géint de falsche Server. D'Versioun vum Argument ouni wireshark ass eng Ufro, een Äntwerer an ee Äntwertcode, an dat Dräigespann ass et wäert, festzehalen, ier Dir d'Konfiguratioun ännert.

Wat d'Äntwert tatsächlech beweist

DNS trennt Resultater, déi d'Cliente oft an ee Fehler zesummefassen. En Numm, deen net existéiert, gëtt eng negativ Äntwert mam Code NXDOMAIN, während en Numm, deen existéiert, awer kee Rekord vum ugefrote Typ huet, eng erfollegräich Äntwert mat enger eideler Äntwertsekzioun gëtt. Béides gesäit fir eng Applikatioun aus wéi näischt Brauchbares, a just eng vun deenen zwee heescht, datt den Numm falsch ass.

Dee Virdeel entscheet, wou d'Reparatur gehéiert. En fehlende AAAA-Rekord op engem Host mat engem A-Rekord ass keen fehlenden Host, an en Zertifikaat nei auszestellen oder en Tunnel nei opzebauen, fir deem nozejueken, verschwësst deen eenzege Hiweis, dee verfügbar war. Den Ënnerscheed bestëmmt och d'Form vum Weideren: en Nummproblem gëtt an der Zone behuewen, an en Typproblem gëtt behuewen, andeems een de richtege Rekord freet oder akzeptéiert, datt d'Adressfamill einfach feelt.

De Mythos: en feelenden private Numm heescht, datt den Tunnel versot huet

De Mythos iwwerlieft, well déi zwou Evenementer sou dacks zesummen optrieden. E Client verbënnt sech mat der VPN, d'Betribssystem behält e Resolver, deem et schonn vertraut huet, an den internen Numm, deen et elo brauch, gëtt bei engem Server gefrot, dee nach ni vun der privater Zone héieren huet. Dee Server äntwert éierlech an negativ. Den Tunnel dréit d'Paket; d'Äntwert geet just ëm en Nummraum, deen den Äntwerer net zerwéiert.

Split-Horizon-Arichtunge maachen dat routinéiert: dee selwechte Zonennumm existéiert ëffentlech an intern mat ënnerschiddlechem Inhalt, an nëmmen den internen Resolver kennt déi privat Rekorder. Dofir ass eng negativ Äntwert ze kréien, déi autoritativ ausgesäit, e Beweis dofir, wéi en Resolver geäntwert huet, an net e Beweis fir den Zoustand vun der Schnëttstell.

Zwee Konfiguratiounsdetailer entscheeden iwwer d'Resultat. Den Tunnel muss den internen Resolver drécken oder wielen, an de Client muss déi Wiel op den Numm uwenden, deen ugefrot gëtt. Eng Regel pro Domain, déi e Suffix nennt, dee liicht vun deem Rekord ofwäicht, deen Dir getippt hutt, schéckt d'Ufro iwwer den ëffentleche Wee, an d'Äntwert wäert korrekt an onbrauchbar sinn.

Frot den richtege Resolver mam richten Numm

Halt den Äntwerer fest, ier Dir d'Urteel festhält. Eng Ufro, déi net weist, wéi en Server geäntwert huet, ka kee Politikproblem vun engem Nummraumproblem ënnerscheeden, an déi zwou hunn onverbonne Reparaturen.

resolvectl query vpn.internal.example
resolvectl status | grep -A3 'DNS Servers'
dig +search app.intranet.example A
dig @10.8.0.1 app.intranet.example A

Déi éischt zwou Linnen weisen, wat den lokale Resolver entscheet huet a wien en freet. D'+search-Ufro reproduzéiert, wat eng Applikatioun mécht, wann se e Sichsuffix bäifüügt, wat dacks déi richteg Ufro ass an net déi, déi an en diagnostescht Instrument getippt gouf. Déi lescht Linn freet den internen Server direkt, ëmgeet d'Clientpolitik; wann dat geléngt, während déi einfach Ufro feelgeet, ass d'Zone an der Rei an d'Weiderleedung vun den Ufroe net.

Negativt Caching erkläert d'Verzögerung no enger Korrektur

Negativ Äntwerten ginn aus Design gecacht, an RFC 2308 beschreift, wéi d'Liewensdauer vum negativen Cache aus dem Autoritéitsrekord vun der Zone ofgeleet gëtt. Eng Korrektur vun engem Rekord oder enger Resolverregel garantéiert dofir keng direkt Ännerung um Client, an eng Ufro ze widderhuelen, déi ëmmer nach déi gecacht Äntwert zréckgëtt, beweist näischt Neies. Nëmmen en aneren Äntwerer, en aneren Numm oder e geläschten Cache liwwert frësch Beweiser.

Läscht de lokale Cache, a widderhielt duerno déiselwecht Ufro géint deen selwechten Äntwerer. Op Systemer mat dem lokale Resolverdéngscht ass dat eng Commande; op aneren ass et en Neistart vum Déngscht oder en Plattforminstrument, an dat konkreet Instrument ass manner wichteg wéi duerno en identeschen Test ze widderhuelen.

Trennt den Numm vum Wee

Soubal den Numm op déi erwaart privat Adress opgeléist ass, ass DNS als Sujet fäerdeg an den Applikatiounswee gëtt déi nächst Fro. En Host, deen Ufroe beäntwert, awer eng Verbindung refuséiert, huet en anert Problem, an d'Resolvere weider unzepassen no enger korrekter Äntwert ass de Wee, wéi en Tëschefall dräi onverbonne Ännerungen kritt. Vergläicht déi opgeléist Adress mat där, op déi den Déngscht tatsächlech lauschtert, ier Dir unhëlt, datt déi zwou iwwerenee stëmmen.

Behält den Transkript: d'Ufro, den Äntwerer, de Code an déi opgeléist Adress. Dee Rekord ass och dat, wat e spéidere Rapport verificéierbar mécht, an et ass den Ënnerscheed tëscht enger Diagnos an enger Geschicht iwwer en Tunnel, deen lues ausgesäit.