Rekursija neprieinama: DNS politika, o ne sulūžęs tunelis

Vidinis vardas išsprendžiamas, ir tas pats serveris į išorinį vardą atsako atsisakymu dėl rekursijos. Šis derinys nėra prieštaravimas. Savo zonų publikavimas ir viso interneto sprendimas yra dvi atskiros paslaugos, kurias serveris gali siūlyti, ir jis gali atlikti pirmąją be antrosios. Atsisakymą traktuokite kaip politikos pareiškimą, tada patikrinkite, ar politika atitinka projektą.

Atsisakymas ir laiko limitas yra skirtingi atsakymai

Užrašykite vardą, užklausos tipą, atsakantį serverį, būseną ir grąžintus įrašus. Rekursijos įspėjimas automatiškai nepanaikina su juo atėjusio autoritetingo atsakymo. Užrašykite būseną prieš ją interpretuodami. Būsena, po valandos atkurta iš atminties, yra kitas faktas.

DNS antraštė neša rekursijos prašymą ir nuorodą, ar serveris ją siūlo, o protokolo specifikacija laiko šias vėliavėles atskirai nuo atsakymo duomenų. Todėl atsakymas gali būti naudingas ir vis tiek nešti skundą. Laiko limitas, neigiamas atsakymas ir atsisakymas yra trys skirtingi rezultatai. Kiekvienas nurodo į kitą sluoksnį, ir tik atsisakymas yra serveris, kuris jums pasakoja apie politiką.

Pirmiausia perskaitykite būsenos kodą, tada nuspręskite, ar įspėjimas svarbus šiai užklausai. Autoritetingas atsakymas, kuris įvardija zoną, tinkamas naudoti net kai rekursyvusis bitas atmetamas. Atsisakymas be atsakymo yra politikos rezultatas, o ne sulūžęs paketų kelias.

Ką sprendėjas užrašė kaip jūsų šaltinį

Klientas gali ateiti iš adresų telkinio už serverio leidžiamų rekursyvių diapazonų, arba vertimas gali jį padaryti panašų į tarpinę. Kliento adapterio adresas nėra įrodymas, ką sprendėjas gavo. Klauskite serverio administratoriaus apie stebėtą šaltinį, o ne darykite išvadą iš savo kelio pusės. Du adresai gali skirtis kiekviename verčiančiame šuolyje.

Užklauskite to paties vardo iš kliento ir iš pagrindinio kompiuterio, kuriuo serveris jau pasitiki. Dviejų atsakymų skirtumas yra šaltinio sąlyga, ir jis naudingesnis už bet kurį atsakymą atskirai.

dig +short host.corp.example
dig +short example.com

Jei diegimas nori rekursijos VPN klientams, administratorius autorizuoja tinkamą šaltinio diapazoną per paties serverio valdiklius. Rekursijos atidarymas kiekvienam tinklui, kad praeitų vienas testas, yra daug didesnis pokytis nei testuojamasis. Užrašykite autorizuotą diapazoną šalia taisyklės, nes kitas recenzentas paklaus, kuriems šaltiniams politika turėjo tarnauti. Šaltinio diapazonas be savininko yra būdas, kuriuo laikinas testas tampa nuolatiniu.

Padalintas DNS yra projektas, o ne gedimas

Kai kurie diegimai siunčia tik darbo domenus privačiam sprendėjui, o visa kita – kitam patvirtintam sprendėjui. Tai užklausų maršrutizavimo projektas, ir tai neįrodo, kad privačiam serveriui reikia laisvesnės politikos. Pagal tą projektą išorinis vardas, kuris nepavyksta per privatų sprendėją, yra numatytas rezultatas, o ne gedimas. Atsisakymas yra projektas, kuris veikia, o ne slopinamas simptomas.

Viešas sprendėjas gali atkurti naršymą, bet sulaužyti vidinius vardus arba nusiųsti privačias užklausas ten, kur jos neturėtų keliauti. Užrašykite numatytą elgesį prieš keisdami bet kurio sprendėjo adresą.

Patikrinkite politiką dviem užklausomis

Po numatyto pataisymo užklauskite leidžiamą privatų vardą ir išorinį vardą iš tikrojo kliento. Tai, kas grįžta, turėtų būti tai, ką politika žada, o ne tik tylesnė diagnostika. Užrašykite atsakantį serverį prie kiekvieno atsakymo, tada palyginkite porą su politika. Palyginimas yra testas, o viena sėkminga paieška – ne.

resolvectl query host.corp.example
resolvectl query example.com

Jei privatus vardas veikia, o viešas atmetamas, politika daro tai, ką sako. Jei privatus vardas taip pat nepavyksta, problema yra zonoje, maršrute arba šaltinio autorizacijoje, ir rekursija yra išsiblaškymas. Abu rezultatai naudingi, ir kiekvienas atmeta pusę likusių hipotezių.

Skaitykite atsisakymą kaip įrodymą

Atsisakymas yra atsakymas. Tai reiškia, kad serveris gavo užklausą ir atsisakė atlikti prašomą darbą, o tai skiriasi nuo paketo, kuris niekada neatėjo. Šis skirtumas yra visa diagnozė. Registruokite jį kaip atsakymą, o ne kaip ryšio gedimą.

Šis skirtumas pasako, kur žiūrėti: serverio žurnaluose, jo prieigos politikoje ir užrašytame šaltinyje. Ugniasienės pakeitimas negali ištaisyti politikos atsisakymo, o politikos pakeitimas negali ištaisyti trūkstamo maršruto. Laikykite dvi hipotezes atskirai, kol viena jų turės įrodymą.

Užrašykite rezultatą ir politikos savininką biliete, kad kitas žmogus pradėtų nuo sprendimo, o ne nuo įspėjimo. Įvardykite autorizuotą šaltinio diapazoną ir du vardus, kuriuos testavote. Bilietas su šiais trimis faktais gali būti paleistas iš naujo; tas, kuris sako "rekursija sulūžusi", negali.