Приватниот DNS работи во VPC, но не преку VPN
Приватно име што се решава во EC2, но не преку VPN, е проблем на патеката на resolver-от. Прочитајте го обликот на дефектот пред да го уредите записот на зоната.
Приватно име се решава од EC2 инстанца, но не од лаптоп поврзан преку VPN, а зоната изгледа исправно во конзолата. Инстинктот е да се уреди записот, што речиси никогаш не е проблемот. Записот одговара некому; само не одговара на вашиот лаптоп. Она што се разликува меѓу двата повикувачи е кој resolver го прашуваат и дали тој resolver има поддржана патека во DNS приказот во VPC.
Почнувам со докажување дека записот постои, а остатокот од времето го поминувам на патеката на барањето. Тоа се одделни системи и откажуваат на различни начини.
Прочитајте го обликот на дефектот пред да промените нешто
Три исходи значат три различни работи, а едно барање ги разликува: извршете dig за името против resolver-от што клиентот навистина го користи.
| What you see | What it usually means | First thing to check |
|---|---|---|
| SERVFAIL, or a timeout after several seconds | No path to the resolver, or the resolver cannot reach AWS | Route to the endpoint and the security policy on port 53 |
| NXDOMAIN from a resolver that did answer | The resolver replied, but the zone is not in its view | Zone association or the forwarding rule for that namespace |
| A public address for an internal name | Split DNS is not in effect for this client | Which resolver the client is configured to use |
Временско ограничување е изјава за мрежата. NXDOMAIN е изјава за DNS приказот. Јавен одговор е изјава за политиката. Уредување на запис на зона додека трае временско ограничување го фрла единствениот корисен доказ во случајот.
Зошто адресата плус два во VPC не е оддалечен resolver
Адресата CIDR плус два е локална услуга за ресурсите во VPC. AWS документира дека проследувањето барања од локални мрежи, или од DNS серверите на друг VPC, директно на таа адреса не е поддржано и може да дава нестабилни резултати.
То не значи дека експериментот никогаш не изгледа дека работи. Значи дека однесувањето не е договор што можете да го ставите во скрипта за поддршка. Поддржаниот правец е дојдовен Resolver endpoint: пар адреси во вашиот VPC, достапен од мрежата што ја контролирате, што прифаќа барања што доаѓаат од надвор од AWS.
Изградете ја патеката по редоследот по кој чисто откажува
Мора да постојат три скока, а секој има свој начин на откажување.
VPN client -> approved DNS forwarder
forwarder -> forwarding rule for internal.example
forwarding rule -> Resolver inbound endpoint addressesПроследувачот има потреба од рута до адресите на endpoint-от низ VPN, а повратната патека исто така мора да работи. За класичен DNS на портата 53 endpoint-от одговара преку UDP и TCP, па двата протокола мора да бидат дозволени и двата мора да преживеат каков било надзор на состојба на патот.
Потоа проверете го DNS приказот одделно. Приватна хостирана зона е видлива само за VPC-ата со кои е поврзана, или преку намерен договор за споделување. Достапен endpoint сам по себе не прави секоја приватна зона решлива во неговиот контекст на решавање.
Одлезен endpoint служи на спротивниот правец и нема да одговори на барање што доаѓа од вашиот лаптоп.
Проверете од двата краја
Прашајте од клиентот кон проследувачот, потоа од проследувачот кон endpoint-от. Ако клиентот откаже додека проследувачот успее, јазот е меѓу тие два.
Ако обата откажат, погледнете ја безбедносната политика на endpoint-от и изворната адреса што ја гледа навистина. Проследувач зад NAT прикажува NAT адреса наместо VPN адресата на лаптопот, и само таа разлика е доволна за да се отфрли барањето. Ако обата успеат, но апликацијата и понатаму откажува, можно е апликацијата да користи друг resolver од оној што сте го тестирале.
Држете ги јавните и приватните именски простори намерно одвоени. Split DNS е политика што ја конфигурирате, а не нуспојава од тоа што едно пребарување случајно враќа податоци.
Што не би го направил
Не би додал NAT правило што оспособи едно пребарување и тоа да го наречам дизајн.
Не би ги упатил сите оддалечени клиенти на адресата плус два само затоа што еден тест еднаш врати запис. И не би ја проширил безбедносната политика на endpoint-от на целиот VPN базен кога пристап треба еден проследувач. Ако организацијата веќе води одобрен проследувач во VPC, прво прочитајте го тој дизајн, зашто втората endpoint адреса што ја додавате е онаа што никој не ја документира.