VPN-ээр NXDOMAIN гарах нь туннель тасарсан гэсэн үг биш

Нэг бүтэлгүй хайлтыг туннель нуран унасны баталгаа гэж уншихад уруу татдаг, ялангуяа нэр аравхан минутын өмнө ажиллаж байсан бол. Хариулт өөр зүйл хэлж байна. NXDOMAIN бол шийдэгч асуусан нэр байхгүй гэж мэдэгдсэн дууссан DNS гүйлгээ юм; эвдэрсэн туннель ихэвчлэн чимээгүй байдал, хугацаа дуусах эсвэл буруу сервер рүү шийдвэрлэх оролдлого үүсгэдэг. wiresharkгүй хувилбар нь нэг асуулга, нэг хариулагч, нэг хариултын код бөгөөд энэ гурвыг аливаа тохиргооны өөрчлөлтөөс өмнө бүртгэх нь зүйтэй.

Хариулт юуг үнэхээр баталж байна

DNS нь клиентүүд ихэвчлэн нэг алдаа болгон нэгтгэдэг үр дүнгүүдийг ялгадаг. Байхгүй нэр NXDOMAIN кодтой сөрөг хариулт өгдөг бол, байгаа боловч хүссэн төрлийн бичлэггүй нэр хоосон хариултын хэсэгтэй амжилттай хариулт өгдөг. Хоёулаа програмын хувьд ямар ч хэрэгтэй зүйл мэт харагдахгүй бөгөөд зөвхөн нэг нь нэр буруу гэсэн үг.

Энэ ялгаа нь засварыг хаана хийх ёстойг тодорхойлно. A бичлэгтэй хост дээр AAAA бичлэг байхгүй байх нь хост байхгүй гэсэн үг биш бөгөөд үүнийг мөшгихийн тулд сертификатыг дахин гаргах эсвэл туннелийг дахин барих нь цорын ганц боломжтой сэжүүрийг үрэгдүүлнэ. Энэ ялгаа нь цаашдын алхамын хэлбэрийг мөн тодорхойлно: нэршилтийн асуудлыг бүсэд засдаг, харин төрлийн асуудлыг зөв бичлэг асуух эсвэл хаягийн гэр бүл ердөө байхгүй гэдгийг хүлээн зөвшөөрөх замаар засдаг.

Домог: хувийн нэр байхгүй байх нь туннель бүтэлгүйтсэн гэсэн үг

Энэ домог амьдардаг, учир нь эдгээр хоёр үйл явдал маш олон удаа хамт ирдэг. Клиент VPN-д холбогддог, үйлдлийн систем өмнө нь итгэж байсан шийдэгчээ хадгалдаг, одоо хэрэгтэй дотоод нэрийг хувийн бүсийн талаар хэзээ ч сонсож байгаагүй серверээс асуудаг. Тэр сервер шударга бөгөөд сөрөг хариулт өгдөг. Туннель пакетыг зөөж байна; хариулт нь хариулагчийн үйлчилдэггүй нэрийн орон зайн тухай л юм.

Split-horizon тохиргоо үүнийг энгийн болгодог: ижил бүсийн нэр нийтийн болон дотоод хэлбэрээр өөр агуулгатай оршдог бөгөөд хувийн бичлэгийг зөвхөн дотоод шийдэгч мэддэг. Тиймээс эрх мэдэлтэй харагдах сөрөг хариулт авах нь аль шийдэгч хариулсан тухай баталгаа бөгөөд интерфейсийн төлөвийн баталгаа биш.

Үр дүнг хоёр тохиргооны дэлгэрэнгүй тодорхойлно. Туннель дотоод шийдэгчийг түлхэх эсвэл сонгох ёстой, клиент тэр сонголтыг хайж буй нэрэнд хэрэглэх ёстой. Таны бичсэн бичлэгээс бага зэрэг ялгаатай дагаварыг нэрлэсэн домайн бүрийн дүрэм асуулгыг нийтийн зам руу илгээж, хариулт зөв боловч хэрэггүй болно.

Зөв нэрээр зөв шийдэгчээс асуугаарай

Шийдвэрийг бүртгэхээс өмнө хариулагчийг бүртгэ. Аль сервер хариулсаныг харуулаагүй хайлт нь бодлогын асуудал ба нэрийн орон зайн асуудлыг ялгаж чадахгүй бөгөөд хоёрын засвар харилцан хамааралгүй.

resolvectl query vpn.internal.example
resolvectl status | grep -A3 'DNS Servers'
dig +search app.intranet.example A
dig @10.8.0.1 app.intranet.example A

Эхний хоёр мөр нь локал шийдэгч юу шийдсэн, хэнийг асуухыг харуулна. +search хайлт нь программ хайлтын дагавар нэмэх үед хийдэг зүйлийг дахин үйлддэг бөгөөд энэ нь ихэвчлэн оношлогооны хэрэгсэлд бичсэн асуулга биш, бодит асуулга байдаг. Сүүлийн мөр нь клиентийн бодлогыг тойрч дотоод серверээс шууд асуудаг; хэрэв энэ амжилттай болж энгийн хайлт бүтэлгүйтвэл бүс зөв, асуулгын чиглүүлэлт зөв биш.

Сөрөг кэшлэлт засварын дараах саатлыг тайлбарлана

Сөрөг хариултууд зохион байгуулалтын дагуу кэшлэгддэг бөгөөд RFC 2308 нь сөрөг кэшийн насжилт бүсийн эрх мэдлийн бичлэгээс хэрхэн гаралтай болохыг тайлбарладаг. Тиймээс бичлэг эсвэл шийдэгчийн дүрмийг засах нь клиент дээр шуурхай өөрчлөлт гарахыг баталгаажуулахгүй бөгөөд кэшлэсэн хариултыг буцаасаар байгаа хайлтыг давтах нь шинэ зүйл батлахгүй. Зөвхөн өөр хариулагч, өөр нэр эсвэл цэвэрлэсэн кэш шинэ баталгаа өгдөг.

Локал кэшийг цэвэрлээд, дараа нь ижил хариулагчид ижил асуулгыг давтана уу. Локал шийдэгчийн үйлчилгээ ашигладаг системд энэ нь нэг команд; бусад тохиолдолд үйлчилгээг дахин эхлүүлэх эсвэл платформын хэрэгсэл бөгөөд тодорхой хэрэгсэл нь дараа нь ижил тестийг давтахаас бага чухал.

Нэрийг замаас тусгаарла

Нэр хүлээгдэж буй хувийн хаяг руу шийдэгдсэний дараа DNS сэдэв болж дуусч, дараагийн асуулт програмын зам болно. Хайлтад хариулдаг боловч холболтыг татгалздаг хост өөр асуудалтай бөгөөд зөв хариултын дараа ч шийдэгчүүдийг үргэлжлүүлэн тохируулах нь тохиолдол гурван хамааралгүй өөрчлөлт олж авах зам юм. Хоёр нь таарч байна гэж үзэхээс өмнө шийдэгдсэн хаягийг үйлчилгээ үнэхээр сонсож буй хаягтай харьцуул.

Бүртгэлийг хадгал: асуулга, хариулагч, код болон шийдэгдсэн хаяг. Тэр бүртгэл нь хожим тайланг шалгах боломжтой болгодог бөгөөд энэ нь оношлогоо болон удаан мэт санагдсан туннелийн тухай түүхийн ялгаа юм.