Погрешен DNS преку VPN? Еден авторитативен сервер може да е застарен

Поврзете VPN и едно име на домаќин се решава на вчерашната адреса, или на ништо. Исклучете и пак работи. Рефлексот е да го обвиниме резолверот што тунелот го наметнал, но почестата причина е објавен сервер за имиња што престанал да добива ажурирања на зоната. Новата патека едноставно стигна до друг авторитет од оној од кој дојде вашиот кеширан одговор.

Симптомот се менува со резолверот

Рекурзивниот резолвер го враќа она што авторитетот му го кажал, а потоа го чува тој одговор за TTL. Ако тунелот наметне друг резолвер, или ја смени патеката така што стариот повеќе не е достапен, клиентот прашува друг авторитет и добива друг одговор. Доменот не се смени во тој момент; се смени вашиот поглед кон него.

Затоа истото име може да работи во една канцеларија, а да не успее од хотел, и затоа чистењето локален кеш помага само понекогаш. Чистењето на кешот го праќа прашањето повторно до истиот авторитет.

Разликувачкиот тест е директно прашање до секој објавен сервер.

Прашајте го секој авторитет директно

Започнете од делегацијата, а не од список што го паметите. Прашајте го родителот за множеството NS, потоа прашајте го секое име од тоа множество за записот што ви е потребен. Две прашања за истото име кај различни авторитети веднаш ви кажуваат дали зоната е конзистентна.

dig +short NS example.com
dig @ns1.dns.example app.example.com A
dig @ns2.dns.example app.example.com A

Направете го истото за NS записите на врвот на зоната, бидејќи делегацијата на родителот и сопственото множество NS на зоната може да се разидуваат по миграција. Сериските броеви на SOA се следното нешто за споредба, а вторичен сервер што е многу назад е проблем со пренос, а не со одговор.

Извршете ги тие прашања од мрежата што не успева, не само од вашето биро.

Одделете ги намерните погледи од расипаните

Некои домени намерно одговараат поинаку по регион или група резолвери, а поставките со поделен хоризонт се нормални во корпоративните мрежи.

Прашањето е дали разликата е документирана и стабилна. Ненамерен поглед изгледа поинаку: еден авторитет има запис што другите никогаш не го добиле, или му недостига оној што сите го делат. Упатството на RFC 2182 за избор и распоредување ја третира авторитативната достапност како заедничка одговорност, и тоа е вистинската рамка овде. Резервираноста постои само ако секој објавен сервер може да одговори со намерните податоци, а не само да прифати врска на портата 53.

Сервер што одговара SERVFAIL е полесно да се дијагностицира од оној што одговара со сигурност и погрешно.

Миграцијата открива што скрил кешот

При преместување на провајдерот се менуваат две авторитативни места: делегацијата на родителот и сопствените NS записи на зоната. Двете мора да се ажурираат, и двете се кешираат за своите TTL. Ако стар сервер остане вклучен и продолжува да ја служи претходната зона, клиентите чии резолвери го прашуваат ќе продолжат да го добиваат стариот одговор долго откако преминот изгледаше завршен.

Токму оваа состојба ја крие долготрајниот кеш. Работната станица што работеше цела недела разговараше со резолвер што држеше свеж одговор од новиот авторитет, додека стариот продолжуваше да дели застарени податоци на сите други.

Менувањето на резолверот на преносен сметач го поправа тој сметач и ништо друго.

Поправете ја зоната, не резолверот

Утврдете кои сервери треба да бидат авторитативни за зоната, поправете ја управуваната зона или делегацијата така што секој од нив ќе ги служи намерните податоци, и задржете ја планираната резервираност. Бришењето сервер за имиња затоа што еден излез од VPN добил чуден одговор ја намалува достапноста и ја остава недоследноста на место.

Потоа повторно извршете ги директните прашања од двете мрежи и почекајте да истече TTL на записот што сте го смениле.

Потврдете дека одговорот е стабилен од секој авторитет, и запишете го намерниот поглед во документацијата на зоната за да може следната разлика лесно да се класифицира.