Privātais DNS darbojas VPC, bet ne caur VPN
Privāts nosaukums, kas atrisinās EC2 iekšienē, bet ne caur VPN, ir resolvera ceļa problēma. Izlasiet kļūmes formu pirms zonas ieraksta rediģēšanas.
Privāts nosaukums atrisinās no EC2 instances, bet ne no klēpjdatora, kas savienots caur VPN, un zona konsolē izskatās pareizi. Pirmais impulss ir rediģēt ierakstu, kas gandrīz nekad nav problēma. Ieraksts atbild kādam; tas vienkārši neatbild jūsu klēpjdatoram. Atšķirība starp diviem izsaucējiem ir tajā, kuru resolveri tie jautā, un vai tam resolverim ir atbalstīts ceļš uz VPC DNS skatu.
Sāku ar pierādījumu, ka ieraksts eksistē, un pārējo laiku veltu vaicājuma ceļam. Tās ir atsevišķas sistēmas, un tās sabojājas dažādi.
Izlasiet kļūmes formu pirms kaut kā maiņas
Trīs iznākumi nozīmē trīs dažādas lietas, un viens vaicājums tos atšķir: palaidiet dig nosaukumam pret to resolveri, kuru klients patiešām izmanto.
| What you see | What it usually means | First thing to check |
|---|---|---|
| SERVFAIL, or a timeout after several seconds | No path to the resolver, or the resolver cannot reach AWS | Route to the endpoint and the security policy on port 53 |
| NXDOMAIN from a resolver that did answer | The resolver replied, but the zone is not in its view | Zone association or the forwarding rule for that namespace |
| A public address for an internal name | Split DNS is not in effect for this client | Which resolver the client is configured to use |
Taimauts ir apgalvojums par tīklu. NXDOMAIN ir apgalvojums par DNS skatu. Publiska atbilde ir apgalvojums par politiku. Zonas ieraksta rediģēšana taimauta laikā izmet vienīgo lietderīgo pierādījumu lietā.
Kāpēc VPC plus-divi adrese nav attālināts resolvers
CIDR plus-divi adrese ir vietējs pakalpojums VPC iekšējiem resursiem. AWS dokumentē, ka vaicājumu pārsūtīšana no vietējiem tīkliem vai cita VPC DNS serveriem tieši uz šo adresi netiek atbalstīta un var dot nestabilus rezultātus.
Tas nenozīmē, ka eksperiments nekad nešķiet strādājam. Tas nozīmē, ka uzvedība nav līgums, ko var ielikt atbalsta skriptā. Atbalstītais virziens ir ienākošais Resolver galapunkts: adrešu pāris jūsu VPC iekšienē, sasniedzams no jūsu kontrolētā tīkla un pieņem vaicājumus, kas nāk no ārpuses AWS.
Veidojiet ceļu tādā secībā, kādā tas sabojājas tīri
Jābūt trim lēcieniem, un katram ir savs sabojāšanās veids.
VPN client -> approved DNS forwarder
forwarder -> forwarding rule for internal.example
forwarding rule -> Resolver inbound endpoint addressesPārsūtītājam vajag maršrutu uz galapunkta adresēm caur VPN, un arī atgriešanās ceļam jādarbojas. Parastajam DNS uz porta 53 galapunkts atbild pa UDP un TCP, tāpēc abi protokoli ir jāatļauj un abiem jāiztur jebkura stāvokļa pārbaude pa vidu.
Pēc tam pārbaudiet DNS skatu atsevišķi. Privāta mitinātā zona ir redzama tikai tiem VPC, ar kuriem tā ir saistīta, vai ar apzinātu koplietošanas vienošanos. Sasniedzams galapunkts pats par sevi nepadara katru privāto zonu atrisināmu tās atrisināšanas kontekstā.
Izejošais galapunkts apkalpo pretējo virzienu un neatbildēs uz vaicājumu, kas nāk no jūsu klēpjdatora.
Pārbaudiet no abiem galiem
Jautājiet no klienta pārsūtītājam un pēc tam no pārsūtītāja galapunktam. Ja klients sabojājas, kamēr pārsūtītājs izdodas, plaisa ir starp šiem diviem.
Ja abi sabojājas, apskatiet drošības politiku galapunktā un avota adresi, ko tas patiešām redz. Pārsūtītājs aiz NAT uzrāda NAT adresi, nevis klēpjdatora VPN adresi, un vien šī atšķirība ir pietiekama, lai vaicājumu nomestu. Ja abi izdodas, bet lietojumprogramma joprojām sabojājas, tā var izmantot citu resolveri nekā to, kuru testējāt.
Turiet publisko un privāto nosaukumtelpu apzināti atsevišķi. Split DNS ir politika, ko jūs konfigurējat, nevis viena meklējuma blakusefekts, kas nejauši atgrieza datus.
Ko es nedarītu
Es nepievienotu NAT noteikumu, kas lika vienam meklējumam strādāt, un nesauktu to par dizainu.
Es nevērstu katru attālināto klientu uz plus-divi adresi tikai tāpēc, ka viens tests reiz atgrieza ierakstu. Un es nepaplašinātu galapunkta drošības politiku uz visu VPN baseinu, kad piekļuve vajadzīga vienam pārsūtītājam. Ja organizācija jau uztur apstiprinātu pārsūtītāju VPC iekšienē, vispirms izlasiet to dizainu, jo otrais galapunkts, ko pievienosit, ir tas, ko neviens nedokumentē.