Rekursija nav pieejama: DNS politika, nevis salauzts tunelis

Iekšējais nosaukums tiek atrisināts, un tas pats serveris uz ārēju nosaukumu atbild ar atteikumu par rekursiju. Šī kombinācija nav pretruna. Savu zonu publicēšana un visa interneta atrisināšana ir divi atsevišķi pakalpojumi, ko serveris var piedāvāt, un tas var veikt pirmo bez otrā. Uztveriet atteikumu kā politikas paziņojumu, pēc tam pārbaudiet, vai politika atbilst projektam.

Atteikums un taimauts ir dažādas atbildes

Pierakstiet nosaukumu, vaicājuma veidu, atbildētāju serveri, statusu un atgrieztos ierakstus. Rekursijas brīdinājums automātiski neanulē autoritatīvu atbildi, kas atnāca kopā ar to. Pierakstiet statusu pirms tā interpretēšanas. Statuss, kas pēc stundas rekonstruēts no atmiņas, ir cits fakts.

DNS galvene satur rekursijas pieprasījumu un norādi, vai serveris to piedāvā, un protokola specifikācija tur šos karogus atsevišķi no atbildes datiem. Tāpēc atbilde var būt noderīga un tomēr saturēt sūdzību. Taimauts, negatīva atbilde un atteikums ir trīs dažādi rezultāti. Katrs norāda uz citu slāni, un tikai atteikums ir serveris, kas jums stāsta par politiku.

Vispirms izlasiet statusa kodu, tad izlemiet, vai brīdinājums ir svarīgs šim vaicājumam. Autoritatīva atbilde, kas nosauc zonu, ir lietojama arī tad, kad rekursīvais bits tiek atteikts. Atteikums bez atbildes ir politikas rezultāts, nevis salauzts pakešu ceļš.

Ko atrisinātājs pierakstīja kā jūsu avotu

Klients var nākt no adrešu kopas ārpus servera atļautajiem rekursīvajiem diapazoniem, vai tulkojums var likt tam izskatīties kā vārtejai. Klienta paša adaptera adrese nav pierādījums par to, ko atrisinātājs saņēma. Jautājiet servera administratoram par novēroto avotu, nevis seciniet to no savas ceļa puses. Abas adreses var atšķirties katrā tulkojošā lēcienā.

Vaicājiet to pašu nosaukumu no klienta un no resursdatora, kam serveris jau uzticas. Atšķirība starp abām atbildēm ir avota nosacījums, un tā ir noderīgāka par jebkuru atbildi atsevišķi.

dig +short host.corp.example
dig +short example.com

Ja izvietojums vēlas rekursiju VPN klientiem, administrators autorizē atbilstošo avota diapazonu caur paša servera vadīklām. Rekursijas atvēršana visiem tīkliem, lai viens tests izietu, ir daudz lielāka izmaiņa nekā testējamā. Pierakstiet autorizēto diapazonu blakus noteikumam, jo nākamais pārskatītājs jautās, kuriem avotiem politikai bija jākalpo. Avota diapazons bez īpašnieka ir veids, kā pagaidu tests kļūst pastāvīgs.

Sadalītais DNS ir projekts, nevis kļūme

Daži izvietojumi sūta tikai darba domēnus privātajam atrisinātājam un visu pārējo citam apstiprinātam atrisinātājam. Tas ir vaicājumu maršrutēšanas projekts, un tas nav pierādījums, ka privātajam serverim vajag brīvāku politiku. Šajā projektā ārēja nosaukuma neizdošanās caur privāto atrisinātāju ir paredzētais rezultāts, nevis kļūme. Atteikums ir projekts, kas strādā, nevis nomācams simptoms.

Publisks atrisinātājs var atjaunot pārlūkošanu, vienlaikus salaužot iekšējos nosaukumus vai sūtot privātus vaicājumus tur, kur tiem nevajadzētu doties. Pierakstiet paredzēto uzvedību pirms jebkuras atrisinātāja adreses maiņas.

Pārbaudiet politiku ar diviem vaicājumiem

Pēc paredzētā labojuma vaicājiet atļautu privātu nosaukumu un ārēju nosaukumu no faktiskā klienta. Tam, kas atgriežas, jābūt tam, ko politika sola, nevis tikai klusākai diagnostikai. Pierakstiet atbildētāju serveri pie katras atbildes, pēc tam salīdziniet pāri ar politiku. Salīdzinājums ir tests, un viena veiksmīga meklēšana nav.

resolvectl query host.corp.example
resolvectl query example.com

Ja privātais nosaukums strādā un publiskais tiek atteikts, politika dara to, ko saka. Ja arī privātais nosaukums neizdodas, problēma ir zonā, maršrutā vai avota autorizācijā, un rekursija ir novēršanās. Abi rezultāti ir noderīgi, un katrs izslēdz pusi atlikušo hipotēžu.

Lasiet atteikumu kā pierādījumu

Atteikums ir atbilde. Tas nozīmē, ka serveris saņēma vaicājumu un atteicās veikt pieprasīto darbu, kas atšķiras no paketes, kas nekad neieradās. Šī atšķirība ir visa diagnoze. Reģistrējiet to kā atbildi, nevis kā savienojuma kļūmi.

Šī atšķirība pasaka, kur skatīties: servera žurnālos, tā piekļuves politikā un pierakstītajā avotā. Ugunsmūra izmaiņas nevar salabot politikas atteikumu, un politikas izmaiņas nevar salabot trūkstošu maršrutu. Turiet abas hipotēzes atsevišķi, līdz vienai no tām ir pierādījums.

Pierakstiet rezultātu un politikas īpašnieku biļetē, lai nākamais cilvēks sāktu no lēmuma, nevis no brīdinājuma. Nosauciet autorizēto avota diapazonu un divus nosaukumus, ko pārbaudījāt. Biļete ar šiem trim faktiem ir atkārtoti izpildāma; tā, kas saka "rekursija ir salauzta", nav.