Rekursioun net verfügbar: eng DNS-Politik, keen futti Tunnel

Den internen Numm gëtt opgeléist, an dee selwechte Server äntwert op en externen Numm mat enger Oflehnung iwwer d’Rekursioun. Dës Kombinatioun ass kee Widdersproch. Seng eege Zonen ze verëffentlechen an dat ganzt Internet opzeléisen sinn zwee getrennte Servicer, déi e Server ubidden kann, an hie kann dat éischt ouni dat zweet maachen. Behandelt d’Oflehnung als Politik-Erklärung, a kontrolléiert dann, ob d’Politik zum Design passt.

Eng Oflehnung an en Timeout sinn ënnerschiddlech Äntwerten

Notéiert den Numm, den Typ vun der Ufro, de Server deen äntwert, de Status an d’Zréckginn-Registréierungen. Eng Rekursiouns-Warnung mécht eng autoritativ Äntwert, déi mat hir koum, net automatesch ongülteg. Schreift de Status op, éier Dir en interpretéiert. En Status, deen eng Stonn méi spéit aus dem Gediechtnes rekonstruéiert gëtt, ass eng aner Tatsaach.

Den DNS-Header dréit eng Ufro fir Rekursioun an eng Indikatioun ob de Server se ubitt, an d’Protokoll-Spezifikatioun hält dës Fändelen getrennt vun den Äntwertdaten. Dofir kann eng Äntwert nëtzlech sinn an trotzdem eng Plainte droen. En Timeout, eng negativ Äntwert an eng Oflehnung sinn dräi verschidde Resultater. Jiddwereen deit op eng aner Schicht, an nëmmen d’Oflehnung ass de Server, deen Iech iwwer Politik erzielt.

Liest fir d’éischt de Statuscode, a entscheet dann, ob d’Warnung fir dës Ufro wichteg ass. Eng autoritativ Äntwert, déi d’Zone nennt, ass benotzbar och wann de rekursive Bit ofgeleent gëtt. Eng Oflehnung ouni Äntwert ass en Politikresultat, keen futti Paketswee.

Wat de Resolver als Ären Urspronk festgehalen huet

De Client ka aus engem Adresspool baussent de erlaabte rekursive Beräicher vum Server kommen, oder eng Iwwersetzung kann en wéi eng Paart ausgesinn loossen. D’Adapteradress vum Client selwer ass kee Beweis fir dat, wat de Resolver kritt huet. Frot den Administrateur vum Server no dem observéierten Urspronk amplaz en vu Ärer Säit vum Wee ofzeleeden. Déi zwou Adressen kënne sech bei all Hop ënnerscheeden, deen iwwersetzt.

Frot deen selwechten Numm vum Client a vun engem Host, deem de Server schonn vertraut. Den Ënnerscheed tëscht den zwou Äntwerten ass d’Urspronks-Bedingung, an en ass nëtzlecher wéi jiddwer Äntwert eleng.

dig +short host.corp.example
dig +short example.com

Wann d’Deploiement Rekursioun fir VPN-Cliente wëll, autoriséiert den Administrateur de passenden Urspronksberäich iwwer dem Server seng eege Kontrollen. D’Rekursioun fir all Netzwierk opzemaachen, sou datt een Test duerchgeet, ass eng vill méi grouss Ännerung wéi déi, déi getest gëtt. Schreift den autoriséierte Beräich niewent d’Regel, well den nächsten Iwwerpréifer freet, wéi eng Urspronk d’Politik sollt zerwéieren. En Urspronksberäich ouni Propriétaire ass de Wee, wéi en temporären Test permanent gëtt.

Gedeelte DNS ass en Design, keen Defekt

Verschidden Deploiementer schécken nëmmen d’Aarbechts-Domaineen un de private Resolver an alles anert un en aneren approuvéierte Resolver. Dat ass en Design fir d’Ufroe-Routing, an et ass kee Beweis, datt de private Server eng méi lues Politik brauch. Ënnert deem Design ass en externen Numm, deen iwwer de private Resolver feelt, dat intendéiert Resultat an keen Defekt. D’Oflehnung ass den Design, deen funktionéiert, keen Symptom, dat een erméigleche soll.

En ëffentleche Resolver kann d’Browser erëmbréngen, wärend en intern Nimm futti mécht oder privat Ufroe schéckt, wou se net higehéieren. Schreift dat intendéiert Verhalen op, éier Dir eng Resolver-Adress ännert.

Verifizéiert d’Politik mat zwou Ufroen

No der intendéierter Korrektur frot en erlaabten private Numm an en externen Numm vum richtegen Client. Wat zréckkënnt, sollt dat sinn, wat d’Politik versprécht, net nëmmen eng méi roueg Diagnostik. Notéiert de Server deen äntwert bei all Äntwert, a vergläicht dann d’Paar mat der Politik. De Verglach ass den Test, an eng eenzeg gelungen Sich ass et net.

resolvectl query host.corp.example
resolvectl query example.com

Wann den private Numm funktionéiert an den ëffentlechen Numm ofgeleent gëtt, mécht d’Politik dat, wat se seet. Wann och den private Numm feelt, ass de Problem d’Zone, de Wee oder d’Autorisatioun vum Urspronk, an d’Rekursioun ass eng Ofleedung. Béid Resultater sinn nëtzlech, a jiddwereent schléisst d’Halschent vun de verbleiwenen Hypothese aus.

Liest d’Oflehnung als Beweis

Eng Oflehnung ass eng Äntwert. Et heescht, de Server huet d’Ufro kritt an huet refuséiert déi ugefrote Aarbecht ze maachen, wat sech vun engem Paket ënnerscheet, dee ni ukomm ass. Dësen Ënnerscheed ass déi ganz Diagnos. Loggt en als Äntwert, net als Verbindungsfehler.

Dësen Ënnerscheed seet Iech, wou Dir kuckt: d’Loge vum Server, seng Zougangspolitik an den Urspronk, deen en festgehalen huet. Eng Firewall-Ännerung kann eng Politik-Oflehnung net reparéieren, an eng Politik-Ännerung kann ene fehlenden Wee net reparéieren. Hält déi zwou Hypothese getrennt, bis eng vun hinne Beweiser huet.

Schreift d’Resultat an de Propriétaire vun der Politik an den Ticket, sou datt déi nächst Persoun bei der Decisioun ufänkt an net bei der Warnung. Nennt den autoriséierte Urspronksberäich an déi zwou Nimm, déi Dir getest hutt. En Ticket mat dësen dräi Fakten kann erëm lafen; een, deen seet "d’Rekursioun ass futti", net.