VPN-DNS falsch? Een autoritativen Server kann veralt sinn

Verbind de VPN an en Hostnumm gëtt op d’Adress vun gëschter opgeléist, oder op guer näischt. Trenns d’Verbindung an et geet nees. De Reflex ass, de Resolver ze beschëllegene, deen den Tunnel an d’Spill bruecht huet, awer déi heefegst Ursaach ass en publizéierten Numm-Server, dee opgehalen huet, Zone-Updates ze kréien. Den neien Wee huet einfach eng aner Autoritéit erreecht wéi déi, vun där deng Äntwert aus dem Cache koum.

D’Symptom ännert sech mam Resolver

En rekursiven Resolver gëtt zréck, wat eng Autoritéit him gesot huet, an hält dann déi Äntwert fir den TTL. Wann den Tunnel en anere Resolver schéckt, oder de Wee esou ännert, datt den alen net méi erreechbar ass, freet de Client eng aner Autoritéit a kritt eng aner Äntwert. D’Domain huet sech an deem Moment net geännert; deng Vue dorobber huet sech geännert.

Dofir kann deen selwechten Numm an engem Büro schaffen an aus engem Hotel feelen, an dofir hëlleft de lokale Cache eidel ze maachen nëmme manchmal. De Cache eidel maachen schéckt d’Fro nees un déi selwecht Autoritéit.

Den Ënnerscheedungstest ass eng direkt Ufro un all publizéierte Server.

Frot all Autoritéit direkt

Fänk mat der Delegatioun un, net mat enger Lëscht, un déi s du sech erënners. Frot den Elterendeel no dem NS-Set, a frot dann all Numm aus deem Set no dem Rekord, deen dir wichteg ass. Zwou Ufroen iwwert deen selwechten Numm bei verschiddenen Autoritéiten soen der direkt, ob d’Zone konsequent ass.

dig +short NS example.com
dig @ns1.dns.example app.example.com A
dig @ns2.dns.example app.example.com A

Maach dat selwecht fir d’NS-Rekorder um Spëtzt vun der Zone, well d’Delegatioun vum Elterendeel an den eegenen NS-Set vun der Zone no enger Migratioun kënnen auserneegoeen. Seriennummeren um SOA sinn dat Nächst wat verglach muss ginn, an en zweeten, deen wäit hannendran ass, ass e Transferproblem an net en Äntwertproblem.

Maach déi Ufroe vum Netzwierk aus, dat feelt, net nëmme vun dengem Schreifdësch.

Trenn déi gemengten Usiichten vun de kaputten

E puer Domaine äntweren absichtlech anescht no Regioun oder Resolver-Grupp, an Split-Horizon-Konfiguratiounen si normal an Entreprise-Netzwierker.

D’Fro ass, ob den Ënnerscheed dokumentéiert a stabil ass. Eng net gemengt Usiicht gesäit anescht aus: eng Autoritéit huet e Rekord, deen déi aner ni kritt hunn, oder et feelt hir een, deen se alleguer deelen. D’RFC 2182 Richtlinn fir Auswiel an Asaz behandelt autoritativ Disponibilitéit als eng gedeelt Verantwortung, an dat ass hei de richtege Kader. Redundanz gëtt et nëmme wann all publizéierte Server déi gemengt Daten äntwere kann, net just eng Verbindung um Port 53 unhëlt.

En Server, deen SERVFAIL äntwert, ass méi einfach ze diagnostizéieren wéi een, deen selbstsécher an falsch äntwert.

Eng Migratioun weist, wat e Cache verstoppt huet

Beim Providerwiessel änneren sech zwou autoritativ Plazen: d’Delegatioun vum Elterendeel an déi eegen NS-Rekorder vun der Zone. Béid musse aktualiséiert ginn, a béid ginn fir hir TTLë gecacht. Wann en ale Server weiderleeft an déi vireg Zone weider servéiert, kréien d’Clienten, deenen hir Resolveren hie froen, nach laang déi al Äntwert, nodeems den Iwwergank fäerdeg ausgesäit.

Genau deen Zoustand verstoppt en laangliewegen Cache. D’Aarbechtsplaz, déi déi ganz Woch funktionéiert huet, huet mat engem Resolver geschwat, deen eng frësch Äntwert vun der neier Autoritéit hat, während deen alen nach ëmmer al Daten un all déi aner verdeelt huet.

De Resolver op engem Laptop z’änneren, reparéiert deen Laptop an soss näischt.

Reparéier d’Zone, net de Resolver

Bestëmm, wéi eng Serveren autoritativ fir d’Zone solle sinn, korrigéier déi verwalt Zone oder d’Delegatioun, soudatt jiddwereen vun hinnen déi gemengt Daten zerwéiert, a behal d’Redundanz, déi s du geplangt hues. En Numm-Server läschen, well een VPN-Ausgang eng komesch Äntwert kritt huet, reduzéiert d’Disponibilitéit an hält d’Inkonsistenz op der Plaz.

Maach duerno déi direkt Ufroe vun deenen zwee Netzwierker aus nees, a waart, bis den TTL vum Rekord, deen s du geännert hues, ofleeft.

Bestäteg, datt d’Äntwert vun all Autoritéit aus stabil ass, a schreif déi gemengt Usiicht an d’Dokumentatioun vun der Zone, soudatt den nächsten Ënnerscheed einfach ze klasséieren ass.