സ്വകാര്യ DNS VPC യിൽ പ്രവർത്തിക്കുന്നു പക്ഷേ VPN ൽ ഇല്ല
EC2 നുള്ളിൽ പരിഹരിക്കപ്പെടുന്ന പക്ഷേ VPN ൽ പരിഹരിക്കപ്പെടാത്ത സ്വകാര്യ നാമം resolver പാതയുടെ പ്രശ്നമാണ്. സോൺ റെക്കോർഡ് തിരുത്തുന്നതിന് മുമ്പ് പരാജയത്തിന്റെ രൂപം വായിക്കുക.
ഒരു സ്വകാര്യ നാമം EC2 ഇൻസ്റ്റൻസിൽ നിന്ന് പരിഹരിക്കപ്പെടുന്നു പക്ഷേ VPN വഴി ബന്ധിപ്പിച്ച ലാപ്ടോപ്പിൽ നിന്ന് ഇല്ല, സോൺ കൺസോളിൽ ശരിയായി കാണുന്നു. ആദ്യ പ്രവണത റെക്കോർഡ് തിരുത്തുക എന്നതാണ്, അത് മിക്കവാറും ഒരിക്കലും പ്രശ്നമല്ല. റെക്കോർഡ് ആർക്കോ ഉത്തരം നൽകുന്നു; നിങ്ങളുടെ ലാപ്ടോപ്പിന് മാത്രം ഉത്തരം നൽകുന്നില്ല. രണ്ട് വിളിക്കുന്നവർ തമ്മിലുള്ള വ്യത്യാസം അവർ ഏത് resolver നോട് ചോദിക്കുന്നു, ആ resolver ന് VPC യുടെ DNS കാഴ്ചയിലേക്ക് പിന്തുണയുള്ള പാതയുണ്ടോ എന്നതാണ്.
റെക്കോർഡ് നിലവിലുണ്ടെന്ന് തെളിയിച്ച് ആരംഭിക്കുന്നു, ബാക്കി സമയം ക്വറി പാതയിൽ ചെലവഴിക്കുന്നു. ഇവ വേറിട്ട സംവിധാനങ്ങളാണ്, വ്യത്യസ്ത രീതികളിൽ പരാജയപ്പെടുന്നു.
എന്തെങ്കിലും മാറ്റുന്നതിന് മുമ്പ് പരാജയത്തിന്റെ രൂപം വായിക്കുക
മൂന്ന് ഫലങ്ങൾ മൂന്ന് വ്യത്യസ്ത കാര്യങ്ങൾ അർത്ഥമാക്കുന്നു, ഒരു ക്വറി അവയെ വേർതിരിക്കുന്നു: ക്ലയന്റ് യഥാർത്ഥത്തിൽ ഉപയോഗിക്കുന്ന resolver നോട് നാമത്തിനായി dig പ്രവർത്തിപ്പിക്കുക.
| What you see | What it usually means | First thing to check |
|---|---|---|
| SERVFAIL, or a timeout after several seconds | No path to the resolver, or the resolver cannot reach AWS | Route to the endpoint and the security policy on port 53 |
| NXDOMAIN from a resolver that did answer | The resolver replied, but the zone is not in its view | Zone association or the forwarding rule for that namespace |
| A public address for an internal name | Split DNS is not in effect for this client | Which resolver the client is configured to use |
സമയം തീരുന്നത് നെറ്റ്വർക്കിനെക്കുറിച്ചുള്ള ഒരു പ്രസ്താവനയാണ്. NXDOMAIN എന്നത് DNS കാഴ്ചയെക്കുറിച്ചുള്ള പ്രസ്താവനയാണ്. പൊതു ഉത്തരം നയത്തെക്കുറിച്ചുള്ള പ്രസ്താവനയാണ്. സമയം തീരുമ്പോൾ സോൺ റെക്കോർഡ് തിരുത്തുന്നത് കേസിലെ ഏക ഉപയോഗപ്രദമായ തെളിവ് വലിച്ചെറിയുന്നു.
VPC യുടെ പ്ലസ്-രണ്ട് വിലാസം എന്തുകൊണ്ട് ദൂരെയുള്ള resolver അല്ല
CIDR പ്ലസ്-രണ്ട് വിലാസം VPC യ്ക്കുള്ളിലെ വിഭവങ്ങൾക്കുള്ള പ്രാദേശിക സേവനമാണ്. പ്രാദേശിക നെറ്റ്വർക്കുകളിൽ നിന്നോ മറ്റൊരു VPC യുടെ DNS സർവറുകളിൽ നിന്നോ ക്വറികൾ നേരിട്ട് ആ വിലാസത്തിലേക്ക് അയയ്ക്കുന്നത് പിന്തുണയ്ക്കുന്നില്ലെന്നും അസ്ഥിരമായ ഫലങ്ങൾ നൽകാമെന്നും AWS രേഖപ്പെടുത്തുന്നു.
ഇതിനർത്ഥം ഒരു പരീക്ഷണം ഒരിക്കലും പ്രവർത്തിക്കുന്നതായി തോന്നുന്നില്ല എന്നല്ല. ഇതിനർത്ഥം പെരുമാറ്റം ഒരു സഹായ സ്ക്രിപ്റ്റിൽ ഇടാവുന്ന കരാറല്ല എന്നാണ്. പിന്തുണയുള്ള ദിശ ഒരു ഇൻബൗണ്ട് Resolver എൻഡ്പോയിന്റാണ്: നിങ്ങളുടെ VPC യ്ക്കുള്ളിൽ വിലാസങ്ങളുടെ ജോടി, നിങ്ങൾ നിയന്ത്രിക്കുന്ന നെറ്റ്വർക്കിൽ നിന്ന് എത്താവുന്നത്, AWS ന് പുറത്തുനിന്ന് വരുന്ന ക്വറികൾ സ്വീകരിക്കുന്നത്.
പാത അത് വൃത്തിയായി പരാജയപ്പെടുന്ന ക്രമത്തിൽ നിർമ്മിക്കുക
മൂന്ന് ഹോപ്പുകൾ ഉണ്ടായിരിക്കണം, ഓരോന്നിനും അതിന്റേതായ പരാജയ രീതിയുണ്ട്.
VPN client -> approved DNS forwarder
forwarder -> forwarding rule for internal.example
forwarding rule -> Resolver inbound endpoint addressesഫോർവേഡറിന് VPN വഴി എൻഡ്പോയിന്റ് വിലാസങ്ങളിലേക്ക് ഒരു റൂട്ട് വേണം, തിരിച്ചുവരുന്ന പാതയും പ്രവർത്തിക്കണം. പോർട്ട് 53 ലെ പരമ്പരാഗത DNS ന് എൻഡ്പോയിന്റ് UDP, TCP വഴി ഉത്തരം നൽകുന്നു, അതിനാൽ രണ്ട് പ്രോട്ടോക്കോളുകൾക്കും അനുമതി വേണം, രണ്ടും ഇടയിലുള്ള ഏതെങ്കിലും അവസ്ഥാ പരിശോധനയെ അതിജീവിക്കണം.
തുടർന്ന് DNS കാഴ്ച വേറെ പരിശോധിക്കുക. സ്വകാര്യ ഹോസ്റ്റ് ചെയ്ത സോൺ അത് ബന്ധിപ്പിച്ചിരിക്കുന്ന VPC കൾക്ക് മാത്രമേ കാണുന്നുള്ളൂ, അല്ലെങ്കിൽ ബോധപൂർവമായ പങ്കിടൽ ക്രമീകരണത്തിലൂടെ. എത്താവുന്ന എൻഡ്പോയിന്റ് സ്വയം ഓരോ സ്വകാര്യ സോണിനെയും അതിന്റെ പരിഹാര സന്ദർഭത്തിൽ പരിഹരിക്കാവുന്നതാക്കുന്നില്ല.
പുറത്തേക്കുള്ള എൻഡ്പോയിന്റ് എതിർ ദിശയ്ക്ക് സേവനം നൽകുന്നു, നിങ്ങളുടെ ലാപ്ടോപ്പിൽ നിന്ന് വരുന്ന ക്വറിക്ക് ഉത്തരം നൽകില്ല.
രണ്ട് അറ്റങ്ങളിൽ നിന്നും പരിശോധിക്കുക
ക്ലയന്റിൽ നിന്ന് ഫോർവേഡർക്കെതിരെ ക്വറി ചെയ്യുക, തുടർന്ന് ഫോർവേഡറിൽ നിന്ന് എൻഡ്പോയിന്റിനെതിരെ. ക്ലയന്റ് പരാജയപ്പെടുമ്പോൾ ഫോർവേഡർ വിജയിക്കുന്നുവെങ്കിൽ, വിടവ് ആ രണ്ടിനുമിടയിലാണ്.
രണ്ടും പരാജയപ്പെട്ടാൽ, എൻഡ്പോയിന്റിലെ സുരക്ഷാ നയവും അത് യഥാർത്ഥത്തിൽ കാണുന്ന ഉറവിട വിലാസവും നോക്കുക. NAT ന് പിന്നിലുള്ള ഫോർവേഡർ ലാപ്ടോപ്പിന്റെ VPN വിലാസത്തിന് പകരം NAT വിലാസം അവതരിപ്പിക്കുന്നു, ആ വ്യത്യാസം മാത്രം ക്വറി വീഴ്ത്താൻ മതി. രണ്ടും വിജയിച്ചാലും ആപ്ലിക്കേഷൻ ഇപ്പോഴും പരാജയപ്പെട്ടാൽ, ആപ്ലിക്കേഷൻ നിങ്ങൾ പരിശോധിച്ചതിൽ നിന്ന് വ്യത്യസ്ത resolver ഉപയോഗിക്കുന്നുണ്ടാകാം.
പൊതു, സ്വകാര്യ നാമസ്ഥലങ്ങൾ ബോധപൂർവം വേർതിരിച്ച് സൂക്ഷിക്കുക. Split DNS എന്നത് നിങ്ങൾ കോൺഫിഗർ ചെയ്യുന്ന നയമാണ്, ഒരു തിരയൽ യാദൃച്ഛികമായി ഡാറ്റ തിരികെ നൽകുന്നതിന്റെ പാർശ്വഫലമല്ല.
ഞാൻ ചെയ്യാത്തത്
ഒരു തിരയൽ പ്രവർത്തിപ്പിച്ച NAT നിയമം ചേർത്ത് അതിനെ ഡിസൈൻ എന്ന് വിളിക്കില്ല.
ഒരു പരിശോധന ഒരിക്കൽ റെക്കോർഡ് തിരികെ നൽകി എന്നതുകൊണ്ട് ഞാൻ ഓരോ ദൂരെയുള്ള ക്ലയന്റിനെയും പ്ലസ്-രണ്ട് വിലാസത്തിലേക്ക് തിരിക്കില്ല. ഒരു ഫോർവേഡർക്ക് പ്രവേശനം വേണ്ടിവരുമ്പോൾ എൻഡ്പോയിന്റിന്റെ സുരക്ഷാ നയം മുഴുവൻ VPN പൂളിലേക്ക് വ്യാപിപ്പിക്കില്ല. സ്ഥാപനം ഇതിനകം VPC യ്ക്കുള്ളിൽ അംഗീകൃത ഫോർവേഡർ പ്രവർത്തിപ്പിക്കുന്നുവെങ്കിൽ, ആദ്യം ആ ഡിസൈൻ വായിക്കുക, കാരണം നിങ്ങൾ ചേർക്കുന്ന രണ്ടാമത്തെ എൻഡ്പോയിന്റ് ആരും രേഖപ്പെടുത്താത്തതാണ്.