Privat DNS funktionéiert an der VPC, awer net iwwer d'VPN
E privat Numm, dee sech an EC2 opléist awer net iwwer d'VPN, ass e Problem vum Resolver-Pfad. Liest d'Feelerform, ier Dir den Zonenandrag änneren.
E privat Numm léist sech vun enger EC2-Instanz op, awer net vun engem Laptop, deen iwwer d'VPN verbonnen ass, an d'Zone gesäit an der Konsole korrekt aus. Den Instinkt ass, den Andrag ze änneren, wat bal ni dat Problem ass. Den Andrag äntwert engem; hien äntwert just net dengem Laptop. Wat tëschent deenen zwéi Clients ënnerscheet, ass wéi ee Resolver si froen, an ob dee Resolver e supporte Path an d'DNS-Usiicht vun der VPC huet.
Ech fänken domat un, ze beweisen, dass den Andrag existéiert, an verbréngen déi reschtlech Zäit um Ufro-Pfad. Dat si getrennte Systemer, an si versoen op ënnerschiddlech Manéieren.
Liest d'Feelerform, ier Dir eppes ännert
Dräi Resultater bedeiten dräi verschidden Saachen, an eng eenzeg Ufro ënnerscheet si: féiert dig fir den Numm géint de Resolver aus, deen de Client tatsächlech benotzt.
| What you see | What it usually means | First thing to check |
|---|---|---|
| SERVFAIL, or a timeout after several seconds | No path to the resolver, or the resolver cannot reach AWS | Route to the endpoint and the security policy on port 53 |
| NXDOMAIN from a resolver that did answer | The resolver replied, but the zone is not in its view | Zone association or the forwarding rule for that namespace |
| A public address for an internal name | Split DNS is not in effect for this client | Which resolver the client is configured to use |
En Timeout ass eng Ausso iwwer d'Netzwierk. NXDOMAIN ass eng Ausso iwwer d'DNS-Usiicht. Eng ëffentlech Äntwert ass eng Ausso iwwer d'Politik. Een, deen den Andrag ännert, wärend en Timeout besteet, geheit deen eenzegen nëtzlechen Beweis vum Fall ewech.
Firwat d'Plus-zwee-Adress vun der VPC keen entfernte Resolver ass
D'CIDR-Plus-zwee-Adress ass en lokalen Service fir Ressourcen an der VPC. AWS dokumentéiert, dass d'Weiderleede vun Ufroen aus lokalen Netzwierker, oder vun den DNS-Server vun enger anerer VPC, direkt op déi Adress net ënnerstëtzt gëtt an onstabil Resultater ka ginn.
Dat heescht net, dass en Experiment ni schéngt ze funktionéieren. Et heescht, dass d'Verhalen kee Kontrakt ass, deen een an en Helpdesk-Skript schreift. D'ënnerstëtzte Richtung ass en agaangen Resolver-Endpunkt: en Adresspaar an Ärer VPC, erreechbar aus dem Netzwierk, dat Dir kontrolléiert, deen Ufroe vun ausserhalb vun AWS unhëlt.
Baut de Path an der Rei op, an där en propper versoeit
Dräi Spréng mussen existéieren, a jidderee huet seng eege Manéier ze versoen.
VPN client -> approved DNS forwarder
forwarder -> forwarding rule for internal.example
forwarding rule -> Resolver inbound endpoint addressesDe Forwarder brauch eng Route zu den Endpunktadressen duerch d'VPN, an de Réckwee muss och funktionéieren. Fir konventionellen DNS op Port 53 äntwert den Endpunkt iwwer UDP an TCP, also musse béid Protokoller erlaabt sinn, a béid musse sech géint eng zustandsorientéiert Inspektioun an der Mëtt duerchsetzen.
Préift duerno d'DNS-Usiicht separat. Eng privat gehostete Zone ass nëmmen de VPCen sichtbar, mat deenen se associéiert ass, oder iwwer eng bewosst Deelregelung. En erreechbaren Endpunkt mécht net vu sech aus all privat Zone a sengem Resolutiounskontext opléisbar.
En ausgeenden Endpunkt déngt der entgéigegesater Richtung a wäert keng Ufro beäntweren, déi vun Ärem Laptop erakënnt.
Verifizéiert vun béide Säiten
Frot vum Client géint de Forwarder, duerno vum Forwarder géint den Endpunkt. Versoeit de Client, während de Forwarder geléngt, läit d'Lück tëschent deenen zwéin.
Versoe se béid, kuckt d'Politik um Endpunkt an d'Quelladress un, déi en tatsächlech gesäit. En Forwarder hannert NAT weist d'NAT-Adress amplaz vun der VPN-Adress vum Laptop, an deen Ënnerscheed eleng duer, fir d'Ufro fale ze loossen. Geléngt béid, awer d'Applikatioun versoeit nach ëmmer, benotzt d'Applikatioun vläicht en aneren Resolver wéi deen, deen Dir getest hutt.
Halt d'ëffentlech an déi privat Nummräim bewosst getrennt. Split DNS ass eng Politik, déi Dir konfiguréiert, keen Nieweneffekt vun enger eenzeger Opfro, déi zoufälleg Daten zréckgëtt.
Wat ech net géif maachen
Ech géif keng NAT-Regel derbäisetzen, déi eng eenzeg Opfro schaffe gelooss huet, an dat en Design nennen.
Ech géif net all entfernte Client op d'Plus-zwee-Adress weisen, well een Test eng Kéier en Andrag zréckginn huet. An ech géif d'Politik vum Endpunkt net op de ganzen VPN-Pool ausweiden, wann een eenzegen Forwarder Zougang brauch. Lafen an der Organisatioun schonn en genehmegte Forwarder an der VPC, liest deen Design fir d'éischt, well den zweeten Endpunkt, deen Dir dobäisetzt, ass deen, deen keen dokumentéiert.