Zwou Standplazen, eng privat DNS-Zon: wiem gehéieren d'Enregistrementer?

Dir füügt en Host op der grénger Plaz bäi, en gëtt fir gréng Benotzer opgeléist, an de gielen Büro kritt nach ëmmer NXDOMAIN. Dat ass kee VPN-Fehler an och keen defekten Resolver; et ass eng Eegentumslück an der privater Zon. Zwou onofhängeg editéiert Enregistrementslëschte ginn net eng eenzeg Zon just well d'Plazen sech géigesäiteg erreeche kënnen. D'Léisung ass e Publikatiounsplang, net eng aner Firewallregel.

D'Symptom nennt den fehlenden Eegentemer

All Plaz huet wuel eng lokal Iwwerschreiwung, eng Pi-hole-Amot oder eng dnsmasq-Zeil, déi een derbäigesat huet, wéi en Numm gebraucht gouf. Den gréngen Enregistrement existéiert just um gréngen Resolver, also freet e Client op der gieler Plaz säin eegene Resolver a kritt e wourechteg "keen esou Numm". Eng verhalen Äntwert gesäit anescht aus: den Host ass geplënnert, eng Plaz huet seng Kopie aktualiséiert, an déi aner gëtt nach ëmmer déi al Adress zréck.

Keen vun deenen zwee Mustere gëtt laang duerch e Cache-Leeren behuewen. Den Cache vun engem weiderleeende Resolver ass eng Kopie vun enger Äntwert, déi en eng Kéier kritt huet, keng Autoritéit déi nei Nimm publizéiert, also en Cache deen haut funktionnéiert seet näischt iwwer den Host vun muer. D'BIND-Dokumentatioun beschreift d'Rollen primär, sekundär, rekursiv a weiderleeend genee aus dësem Grond getrennt.

Also ass d'Designfro schmuel an beäntwertbar: wien däerf en Enregistrement uleeën, a wéi erreecht deen Enregistrement all Resolver dee musse drop äntweren?

Optioun A: eng autoritativ Zon mat Sekundären

Startt e Primär fir internal.example.com a loosst ënnerstëtzt Sekundär d'Zon op all Plaz kréien. Den rekursive Resolver vun all Plaz freet säi lokale Sekundär, also kommen d'Äntwerten aus enger autoritativer Quell an net aus engem Cache, an eng Ännerung déi eng Kéier gemaach gouf gëtt iwwerdroen amplaz nei getippt.

Dës Anuerdnung brauch explizit Entscheedungen, déi een einfach kann opschieben an déi deier sinn ze iwwersprangen. Wien däerf d'Zon editéieren? Wéi eng Serveren däerfen se iwwerdroen, a iwwer wéi eng Adressen? Wat solle Clienten gesinn, während den Tunnel tëscht de Plazen ausgefalen ass? E Sekundär äntwert weider aus senger leschter Kopie, wat normalerweis dat gewënschte Verhalen ass, awer et muss eng erkläert Wiel sinn an net eng Iwwerraschung während enger Stéierung.

Limitéiert Zonen-Iwwerdrounge op déi bekannt Sekundären no Adress a benotzt Transaktiounssignaturen wou d'Ëmsetzung se ënnerstëtzt. Eng oppe Iwwerdroung ass eng Kopie vun Ärem internen Nummraum fir jiddereen deen de Port erreecht.

De Präis ass Koordinatioun: ee Wee fir z'editéieren, eng Ännerungsrevue, an e gemeinsamt Verständnis vu wien um Service ass wann en Enregistrement falsch ass.

Optioun B: en Subdomain pro Plaz

Delegéiert green.internal.example.com un déi gréng Plaz an yellow.internal.example.com un déi giel. All Plaz gëtt autoritativ fir seng eege Nimm, an d'Elterenzon dréit just d'Delegatiouns-Enregistrementer. De Sträit ëm eng eenzeg Datei verschwënnt, an en lokalen Team kann en Host derbäisetzen ouni op eng zentral Ännerung ze waarden.

D'Delegatioun muss am Elter bestoen, mat NS-Enregistrementer déi op d'autoritativ Servere vun der Plaz weisen. E bedingten Weiderleeden fir den Subdomain ass eng gülteg Alternativ wann eng voll Delegatioun net praktesch ass, awer et ass eng Resolver-Astellung an net eng publizéiert Tatsaach, also brauch all Resolver déi selwecht Regel.

De Präis verréckelt sech amplaz ze verschwannen: d'Elterenzon brauch nach ëmmer en Eegentemer, an eng nei Plaz ze schafe ass elo eng Ännerung op zwou Plazen amplaz op enger.

Loosst all Resolver der Wiel follegen

Gitt de Clienten den approuvéierte Resolver an d'Sichdomain iwwer hir ënnerstëtzt Konfiguratioun, a vergewëssert Iech datt de Resolver eng erlaabt VPN-Route zu all entfernte DNS-Server huet deen en ufroe muss. Applikatioune brauchen och Ruten zu de privaten Adressen déi dës Äntwerten zréckginn, well en richtegen Numm ouni Wee nach ëmmer eng gebrachen Verbindung ass.

Wann Pi-hole d'lokal Opléisung liwwert, schreift op wéi eng Enregistrementer et huet a wéi eng Ufroe et weiderleet. Zwou onofhängeg editéiert Pi-hole-Lëschten replizéieren nach ëmmer net. An Pi-hole v6 ginn eegen dnsmasq-Zeilen iwwer Optioune vum Hostsäit wéi TOML, CLI oder Ëmweltvariabelen agestallt an si net iwwer d'API exponéiert; d'Luede vun /etc/dnsmasq.d/-Dateien ass eng separat Optioun déi standardméisseg ausgeschalt ass.

Test dann vun béide Säiten mat engem Numm deen iwwerall siichtbar soll sinn:

$ dig +short newhost.green.internal.example.com @10.20.0.53
10.20.0.41
$ dig +short newhost.green.internal.example.com @10.30.0.53
10.20.0.41
$ dig SOA internal.example.com @10.30.0.53

D'SOA-Äntwert seet Iech ob de gielen Resolver sech fir autoritativ hält, en Sekundär freet oder just weiderleet. Dat sinn ënnerschiddlech Designer mat ënnerschiddleche Fehlermodusen, an d'Äntwert identifizéiert meeschtens wéi ee Dir tatsächlech agesat hutt.

Schléisst mat dräi Akzeptanzfäll of: een Numm vun all Plaz, een Enregistrement bannent der Stonn geännert, an de Link tëscht de Plazen net verfügbar. En Design deem just den éischten duerchgeet huet e Publikatiounsplang um Pabeier an eng lokal Iwwerschreiwung an der Produktioun.