Рекурзијата не е достапна: политика на DNS, а не скршен тунел

Внатрешното име се решава, и истиот сервер одговара на надворешно име со одбивање околу рекурзијата. Таа комбинација не е противречност. Објавувањето на сопствените зони и решавањето на целиот интернет се две одделни услуги што серверот може да ги нуди, и тој може да ја изврши првата без втората. Третирајте го одбивањето како изјава за политика, потоа проверете дали политиката одговара на дизајнот.

Одбивање и истек на време се различни одговори

Запишете го името, типот на барање, серверот што одговара, статусот и вратените записи. Предупредувањето за рекурзија не го поништува автоматски авторитетниот одговор што пристигнал со него. Запишете го статусот пред да го протолкувате. Статус реконструиран од меморија по еден час е друг факт.

DNS заглавието носи барање за рекурзија и показател дали серверот ја нуди, и спецификацијата на протоколот ги држи тие знаменца одделно од податоците за одговорот. Затоа одговорот може да биде корисен и сепак да носи поплака. Истекот на време, негативниот одговор и одбивањето се три различни резултати. Секој укажува на различен слој, и само одбивањето е серверот што ви зборува за политика.

Прво прочитајте го кодот на статусот, потоа одлучете дали предупредувањето е важно за ова барање. Авторитетен одговор што ја именува зоната е употреблив дури и кога рекурзивниот бит е одбиен. Одбивање без одговор е резултат на политика, а не скршен пат на пакети.

Што запишал решавачот како ваш извор

Клиентот може да дојде од базен со адреси надвор од дозволените рекурзивни опсези на серверот, или преводот може да го направи да изгледа како портал. Сопствената адреса на адаптерот на клиентот не е доказ за тоа што го примил решавачот. Прашајте го администраторот на серверот за забележаниот извор, наместо да го изведете од вашата страна на патот. Двете адреси можат да се разликуваат при секој чекор што преведува.

Прашајте го истото име од клиентот и од домаќин во кој серверот веќе има доверба. Разликата меѓу двата одговори е условот на изворот, и таа е покорисна од кој било од одговорите сам.

dig +short host.corp.example
dig +short example.com

Ако распоредувањето сака рекурзија за VPN клиенти, администраторот го овластува соодветниот опсег на извори преку сопствените контроли на серверот. Отворањето рекурзија кон секоја мрежа за да помине еден тест е многу поголема промена од онаа што се тестира. Запишете го овластениот опсег до правилото, бидејќи следниот прегледувач ќе праша на кои извори политиката требало да служи. Опсег на извори без сопственик е начинот на кој привремен тест станува постојан.

Поделениот DNS е дизајн, не дефект

Некои распоредувања праќаат само работни домени до приватниот решавач и останатото до друг одобрен решавач. Тоа е дизајн за насочување на барањата, и не е доказ дека на приватниот сервер му треба полабава политика. Во тој дизајн, надворешно име што не успева преку приватниот решавач е посакуваниот резултат, а не дефект. Одбивањето е дизајнот што работи, а не симптом што треба да се потисне.

Јавен решавач може да го врати прелистувањето додека ги крши внатрешните имиња или праќа приватни барања таму каде што не треба да одат. Запишете го посакуваното однесување пред да смените која било адреса на решавач.

Проверете ја политиката со две барања

По посакуваната исправка, прашајте дозволено приватно име и надворешно име од вистинскиот клиент. Она што се враќа треба да биде она што политиката го ветува, а не само потивка дијагностика. Запишете го серверот што одговара со секој одговор, потоа споредете го парот со политиката. Споредбата е тестот, а едно успешно пребарување не е.

resolvectl query host.corp.example
resolvectl query example.com

Ако приватното име работи и јавното име е одбиено, политиката го прави она што го вели. Ако и приватното име не успее, проблемот е во зоната, патеката или овластувањето на изворот, и рекурзијата е одвлекување. Двата исхода се корисни, и секој исклучува половина од останатите хипотези.

Читајте го одбивањето како доказ

Одбивањето е одговор. Тоа значи дека серверот го примил барањето и одбил да ја изврши побараната работа, што се разликува од пакет што никогаш не пристигнал. Таа разлика е целата дијагноза. Запишете го како одговор, а не како дефект во поврзувањето.

Таа разлика ви кажува каде да гледате: во евиденциите на серверот, неговата политика за пристап и изворот што го запишал. Промена на огнен ѕид не може да поправи одбивање на политика, а промена на политика не може да поправи патека што недостига. Држете ги двете хипотези одделно додека една од нив има доказ.

Запишете го исходот и сопственикот на политиката во билетот, за следниот човек да почне од одлуката, а не од предупредувањето. Именувајте го овластениот опсег на извори и двете имиња што ги тестиравте. Билет со тие три факти може повторно да се изврши; оној што вели "рекурзијата е скршена" не може.