Firwat eng privat Route 53-Zon NXDOMAIN fir ëffentlech Nimm zréckgëtt

Privat Route 53-Zone ersetzen d'Äntwert fir en Numm, amplaz se mat dem ëffentleche Rekord zesummenzeféieren, an dat iwwerrascht d'Leit am schlëmmsten Ament. Füügt een internen Rekord dobäi fir api.example.net an enger privater Zon fir example.net, verbënnt se mat enger VPC, an all aneren Numm ënner deem Elterendeel äntwert elo just aus der privater Zon. E Client, dee gëschter www.example.net erreeche konnt, kritt haut eng negativ Äntwert. De Wierkgank hei drënner fänkt bei där gescheiterter Ufro un a geet no baussen zu der Zon, déi drop geäntwert huet.

Fänkt bei der Ufro un, net bei der Konsole

Reproduzéiert de Feeler op deem Client, deen en gemellt huet, a notéiert den exakten Numm an den Rekordtyp. En Numm, deen fir A feelgeet, kann sech nach ëmmer fir AAAA opléisen, an e Browser, deen en Numm aus dem Cache nach eng Kéier probéiert, verstoppt, wat vun deenen zwee futti ass. Fëllt d'Ufro zweemol aus: eng Kéier iwwer de Resolver, deen de Client tatsächlech benotzt, an eng Kéier mat enger Tracing, déi en ëmgeet.

dig +short api.example.net
dig www.example.net +noall +comments +authority
resolvectl query www.example.net

Déi zweet Kommando ass déi wichteg. Seng Statuslinn an den Autoritéitsberäich nennen d'Zon, déi d'Äntwert produzéiert huet, sou datt Dir eng negativ Äntwert aus der privater Zon vun engem Timeout, engem gespaarte Port oder engem Resolver ënnerscheede kënnt, deen d'Ufro ni krut. resolvectl weist, wéi en Upstream gefrot gouf, an dat ass dacks net de Resolver, vun deem Dir ugeholl hutt, datt de VPN en duerchgestouss huet.

Wann déi getracete Ufro d'ëffentlech Adress zréckgëtt an déi normal net, ass den ëffentleche Rekord intakt an d'privat Vue äntwert. Dee eenzege Verglach entscheet, wéi eng Hallschent vum Rescht vun dëser Säit op Iech zoutrëfft.

Liest, wéi eng Zon geäntwert huet

Eng Äntwert, déi NXDOMAIN dréit an am Autoritéitsberäich d'SOA vun der privater Zon huet, ass eng definitiv Äntwert vun där Zon, keen donkelen Lookup. Route 53 Resolver huet d'privat gehost Zon erausgesicht, well den Numm iwwereneenstemmt huet, duerno keen Rekord vum gefrote Type fonnt, an dat dokumentéiert Verhalen ass, déi negativ Äntwert zréckzeginn, amplaz d'Fro un den ëffentlechen DNS weiderzereechen.

D'Auswiel follegt der Spezifizitéit. Wann e puer privat Nummraim iwwereneen iwwerdecken, gewënnt déi spezifeschst passend Zon, an en heeleschen Elterendeel kritt keng zweet Chance fir en Numm, deen déi gewielt Ënnerzon net huet. Weiderleedungsregelen fügen nach eng Couche derbäi, well eng domainspezifesch Resolver-Regel d'Verbindung vun der privater gehosten Zon iwwerstemme kann. Zielt d'Verbindungen an d'Regelen op, ier Dir schléisst, datt eng Zon eidel ass.

aws route53 list-hosted-zones-by-name --dns-name example.net.
aws route53 list-resource-record-sets --hosted-zone-id Z0EXAMPLEID --query "ResourceRecordSets[?Type=='A'].[Name,ResourceRecords[0].Value]"

Béid Kommandoen brauchen d'Accessdaten vum Kont, deen d'Zon besëtzt, an déi zweet brauch d'Zon-ID aus der éischter. Ersetzt se duerch Är eegen; den Platzhalter uewen ass bewosst net richteg.

Firwat déi privat Zon gewënnt

D'Verbindung ass et, déi d'Zon fir eng VPC sichtbar mécht, an de Resolver an där VPC wendt se un. Eng privat Zon, déi net mat der VPC verbonne ass, aus där de Client säi Verkéier kënnt, huet guer keen Effekt, wärend eng Verbindung mat der falscher VPC eng privat Äntwert fir déi falsch Bevëlkerung produzéiert. Kontrolléiert d'Lëscht vun de Verbindungen, ier Dir Rekorder ännert, well eng Zon ka richteg sinn an awer onsichtbar.

Iwwerdeckend Nummraim sinn déi zweet Quell vu Verwierrung. Eng privat Zon fir example.net an eng privat Zon fir api.example.net stimmen allebéid mat enger API-Ufro iwwerenee, an déi méi spezifesch äntwert. Dat ass nëtzlech, wann Dir en enken internen Nummraum wëllt, a geféierlech, wann der enker Zon e Rekord feelt, deen déi méi breet huet. D'Iwwerleeungen zu privat gehoste Zone an der Route 53-Dokumentatioun beschreiwen souwuel d'Duerchfallverhalen wéi och de Virrang vun de Regelen, an et lount sech, se ze liesen, ier Dir eng zweet iwwerdeckend Zon dobäisetzt.

Näischt vun dësem ännert déi ëffentlech Zon. Ëffentlech Resolveren äntweren nach ëmmer richteg op d'ëffentlech Rekorder, an duerfir gesäit de Feeler fir jiddereen baussen der VPC aus wéi e Clientproblem.

Wielt den Nummraum, ier Dir Rekorder dobäisetzt

Wann nëmmen eng nei Famill vun internen Déngschter privat Nimm brauch, gitt hir eng eegen privat Subdomain an loosst den ëffentlechen Elterendeel a Rou. En Numm wéi internal.example.net kann www.example.net net iwwerschaten, an den Aflossradius vun engem fehlenden Rekord bleift op d'Nimm beschränkt, déi Dir fir dësen Zweck erfonnt hutt. De Präis ass, datt existent URLen an Zertifikater vläicht net mam neien Numm iwwerenee stëmmen.

Wann ëffentlech a privat Benotzer deeselwechten Hostnumm behale mussen, ass DNS mat gedeelter Vue deen ënnerstëtzten Design an et verlaangt, datt Dir d'Rekorder an all Vue explizit ënnerhalt. Eng breet privat Zon mat engem eenzege Rekord dran erhält d'ëffentlech Ofhängegkeete vun där Zon net; si ersetzt se duerch eng Zon mat engem Rekord.

Maacht eng Lëscht vun den Nimm, déi eng Applikatioun tatsächlech opruffe muss, ier Dir eng Clientbevëlkerung op déi privat Vue weist. Login-Hosten, Hosten fir statesch Ressourcen, Ëmleedungsziler an API-Endpunkte briechen als éischt, an se sinn normalerweis iwwer d'Rekorder vu verschiddenen Teams verdeelt.

Verfollegt de Wee vum Resolver, duerno d'Route

En Laptop gesäit déi privat Vue nëmme wann seng Ufroen de Resolver erreechen, deen d'Verbindung huet. Eng hosts-Datei um VPN-Server z'änneren publizéiert näischt fir verbonne Clienten, an e Client, dee mat engem ëffentleche Resolver ageriicht ass, kritt weider ëffentlech Äntwerten, soulaang den Tunnel uewen ass. Bestätegt d'Resolveradress, déi de Client krut, a widderhëlt duerno d'Ufro vum Client amplaz vum Server.

Wann den Numm eemol opgeléist ass, testt de Wee bis zu der zréckginnener Adress als eege Schrëtt, zum Beispill mat ip route get géint d'Adress, déi d'Ufro zréckginn huet. Eng richteg privat Äntwert ouni Route bis zur Adress ass e Routingproblem, an eng Äntwert iwwer e fehlende Rekord ass en DNS-Vueproblem; se als ee Problem ze behandelen ergëtt Korrekturen, déi net halen. Loosst d'Kontrollen vum TLS-Hostnumm an dem Zertifikat vum Déngscht onverännert, well eng privat Adress ännert, wou d'Verbindung hiengeet, an näischt doriwwer, wéi en Zertifikat gëlteg ass.

Schléisst of, andeems Dir d'Zon, d'Verbindung, de Resolver an d'Nimm, déi Dir iwwerpréift hutt, an der Ännerungsnotiz festhält. Da weess déi nächst Persoun, déi e Rekord dobäisetzt, wéi en Nummraum fir déi Clientbevëlkerung autoritativ ass.