Kāpēc privātā Route 53 zona atgriež NXDOMAIN publiskiem nosaukumiem

Privātās Route 53 zonas aizstāj nosaukuma atbildi, nevis saplūst ar publisko ierakstu, un tas pārsteidz cilvēkus sliktākajā brīdī. Pievienojiet vienu iekšēju ierakstu api.example.net nosaukumam privātā zonā example.net nosaukumam, piesaistiet to VPC, un visi pārējie nosaukumi zem šī vecāka tagad tiek atbildēti tikai no privātās zonas. Klients, kas vakar varēja sasniegt www.example.net šodien saņem negatīvu atbildi. Tālāk sniegtais pārskats sākas ar šo neizdevušos vaicājumu un virzās uz āru līdz zonai, kas uz to atbildēja.

Sāciet ar vaicājumu, nevis konsoli

Atveidojiet kļūdu tajā klientā, kas to paziņoja, un pierakstiet precīzo nosaukumu un ieraksta tipu. Nosaukums, kas neizdodas A tipam, tomēr var atrisināties AAAA tipam, un pārlūks, kas atkārtoti mēģina kešatmiņā saglabātu nosaukumu, slēpj, kurš no abiem ir salūzis. Izpildiet vaicājumu divreiz: vienreiz caur to resolveri, ko klients patiešām izmanto, un vienreiz ar izsekošanu, kas to apiet.

dig +short api.example.net
dig www.example.net +noall +comments +authority
resolvectl query www.example.net

Otrā komanda ir svarīgā. Tās statusa rinda un authority sadaļa nosauc zonu, kas radīja atbildi, tāpēc varat atšķirt negatīvu atbildi no privātās zonas no taimauta, bloķēta porta vai resolvera, kas vaicājumu nekad nesaņēma. resolvectl parāda, kuram augšupējam serverim jautāja, un tas bieži nav tas resolveris, par kuru jūs pieņēmāt, ka VPN to ir iesūtījis.

Ja izsekotais vaicājums atgriež publisko adresi, bet parastais ne, publiskais ieraksts ir neskarts un atbild privātais skats. Šis viens salīdzinājums izšķir, kura šīs lapas atlikušās daļas puse uz jums attiecas.

Izlasiet, kura zona atbildēja

Atbilde, kas satur NXDOMAIN un kuras authority sadaļā ir privātās zonas SOA, ir galīgā atbilde no šīs zonas, nevis neizdevušās meklēšana. Route 53 Resolver izvēlējās privāto mitināto zonu tāpēc, ka nosaukums sakrita, pēc tam neatrada pieprasītā tipa ierakstu, un dokumentētā uzvedība ir atgriezt negatīvo atbildi, nevis pārsūtīt jautājumu publiskajam DNS.

Izvēle seko specifikai. Ja pārklājas vairākas privātas nosaukumtelpas, uzvar visprecīzāk atbilstošā zona, un plašāks privātais vecāks nesaņem otru iespēju nosaukumam, kura izvēlētajā apakšzonā nav. Pārsūtīšanas noteikumi pievieno vēl vienu slāni, jo domēnam raksturīgs Resolver noteikums var uzvarēt privātās mitinātās zonas saistījumu. Uzskaitiet saistījumus un noteikumus, pirms secināt, ka zona ir tukša.

aws route53 list-hosted-zones-by-name --dns-name example.net.
aws route53 list-resource-record-sets --hosted-zone-id Z0EXAMPLEID --query "ResourceRecordSets[?Type=='A'].[Name,ResourceRecords[0].Value]"

Abām komandām vajadzīgi tā konta akreditācijas dati, kuram pieder zona, un otrajai vajadzīgs zonas ID no pirmās. Aizstājiet to ar savu ID; iepriekš minētais vietturis apzināti nav īsts.

Kāpēc uzvar privātā zona

Saistījums ir tas, kas padara zonu redzamu VPC, un tā VPC resolveris to piemēro. Privātā zona, kas nav saistīta ar to VPC, no kuras nāk klienta trafiks, vispār neietekmē, savukārt saistījums ar nepareizo VPC rada privātu atbildi nepareizajai populācijai. Pārbaudiet saistījumu sarakstu pirms ierakstu rediģēšanas, jo zona var būt pareiza un tomēr neredzama.

Pārklājošās nosaukumtelpas ir otrais apjukuma avots. Privātā zona example.net nosaukumam un privātā zona api.example.net nosaukumam abas atbilst API vaicājumam, un atbild precīzākā. Tas ir noderīgi, ja vēlaties šauru iekšēju nosaukumtelpu, un bīstami, ja šaurajai zonai trūkst ieraksta, kas ir plašākajai. Apsvērumi par privātajām mitinātajām zonām Route 53 dokumentācijā apraksta gan nokrišanas uzvedību, gan noteikumu prioritāti, un tos ir vērts izlasīt pirms otras pārklājošās zonas pievienošanas.

Nekas no tā nemaina publisko zonu. Publiskie resolveri joprojām pareizi atbild uz publiskajiem ierakstiem, un tāpēc visiem ārpus VPC šī kļūda izskatās kā klienta problēma.

Izvēlieties nosaukumtelpu pirms ierakstu pievienošanas

Ja privāti nosaukumi vajadzīgi tikai jaunai iekšējo pakalpojumu saimei, piešķiriet tai īpašu privātu apakšdomēnu un atstājiet publisko vecāku mierā. Tāds nosaukums kā internal.example.net nevar aizēnot www.example.net, un trūkstoša ieraksta ietekmes rādiuss aprobežojas ar nosaukumiem, ko jūs tam izdomājāt. Cena ir tā, ka esošie URL un sertifikāti var neatbilst jaunajam nosaukumam.

Kad publiskajiem un privātajiem lietotājiem jāsaglabā viens un tas pats resursdatora nosaukums, DNS ar sadalīto skatu ir atbalstītais dizains, un tas prasa, lai ierakstus katrā skatā uzturētu skaidri. Plaša privātā zona ar vienu ierakstu nesaglabā publiskās atkarības zem šīs zonas; tā aizstāj tās ar zonu, kurai ir viens ieraksts.

Pirms klientu populācijas novirzīšanas uz privāto skatu uzskaitiet nosaukumus, ko lietojumprogramma patiešām izsauc. Pieslēgšanās resursdatori, statisko resursu resursdatori, novirzīšanas mērķi un API galapunkti sabrūk pirmie, un tie parasti ir izkaisīti vairāku komandu ierakstos.

Izsekojiet resolvera ceļu, tad maršrutu

Klēpjdators privāto skatu redz tikai tad, ja tā vaicājumi sasniedz resolveri, kuram ir saistījums. Hosts faila rediģēšana VPN serverī neko nepublicē savienotajiem klientiem, un klients, kas konfigurēts ar publisku resolveri, turpinās saņemt publiskas atbildes, kamēr tunelis ir uzcelts. Apstipriniet resolvera adresi, ko klients saņēma, un pēc tam atkārtojiet vaicājumu no klienta, nevis no servera.

Kad nosaukums ir atrisināts, pārbaudiet ceļu uz atgriezto adresi kā atsevišķu soli, piemēram, ar ip route get pret vaicājuma atgriezto adresi. Pareiza privāta atbilde bez maršruta uz adresi ir maršrutēšanas problēma, un atbilde par trūkstošu ierakstu ir DNS skata problēma; to uztveršana kā viena problēma rada labojumus, kas nepaliek spēkā. Atstājiet pakalpojuma TLS resursdatora nosaukuma un sertifikāta pārbaudes nemainītas, jo privāta adrese maina to, kur iet savienojums, un neko par to, kurš sertifikāts ir derīgs.

Beidziet, izmaiņu piezīmē ierakstot zonu, saistījumu, resolveri un nosaukumus, ko pārbaudījāt. Tad nākamā persona, kas pievieno ierakstu, zinās, kura nosaukumtelpa ir autoritatīva šai klientu populācijai.