Хувийн DNS нь VPC дотор ажилладаг боловч VPN-ээр ажиллахгүй
EC2 дотор шийдэгддэг боловч VPN-ээр шийдэгддэггүй хувийн нэр нь resolver-ийн замын асуудал юм. Бүсийн бичлэгийг засахын өмнө эвдрэлийн хэлбэрийг уншаарай.
Хувийн нэр EC2 инстанцаас шийдэгддэг боловч VPN-ээр холбогдсон зөөврийн компьютерээс шийдэгддэггүй, бүс нь консол дээр зөв харагдана. Эхний түлхэц нь бичлэгийг засах, энэ нь бараг хэзээ ч асуудал биш юм. Бичлэг хэн нэгэнд хариулж байна; зүгээр л таны зөөврийн компьютерт хариулахгүй байна. Хоёр дуудагчийн ялгаа нь аль resolver-ээс асуудаг, тэр resolver-т VPC-ийн DNS харагдац руу дэмжигдсэн зам байгаа эсэх юм.
Бичлэг байгаа гэдгийг баталж эхэлж, үлдсэн цагийг асуулгын замд зарцуулна. Эдгээр нь тусдаа систем бөгөөд өөр өөр хэлбэрээр эвдэрдэг.
Ямар нэгэн зүйлийг өөрчлөхийн өмнө эвдрэлийн хэлбэрийг уншаарай
Гурван үр дүн гурван өөр зүйлийг илэрхийлдэг бөгөөд нэг асуулга тэдгээрийг ялгана: клиентийн бодитоор ашигладаг resolver-ийн эсрэг нэрэнд dig ажиллуулна.
| What you see | What it usually means | First thing to check |
|---|---|---|
| SERVFAIL, or a timeout after several seconds | No path to the resolver, or the resolver cannot reach AWS | Route to the endpoint and the security policy on port 53 |
| NXDOMAIN from a resolver that did answer | The resolver replied, but the zone is not in its view | Zone association or the forwarding rule for that namespace |
| A public address for an internal name | Split DNS is not in effect for this client | Which resolver the client is configured to use |
Хугацаа дуусах нь сүлжээний тухай мэдэгдэл юм. NXDOMAIN нь DNS харагдацын тухай мэдэгдэл юм. Нийтийн хариулт нь бодлогын тухай мэдэгдэл юм. Хугацаа дуусаж байх үед бүсийн бичлэгийг засах нь хэрэгт байгаа цорын ганц ашигтай нотолгоог хаяж байна.
Яагаад VPC-ийн нэмэх хоёр хаяг нь алсын resolver биш вэ
CIDR нэмэх хоёр хаяг нь VPC доторх нөөцүүдэд зориулсан локал үйлчилгээ юм. AWS нь локал сүлжээнээс, эсвэл өөр VPC-ийн DNS серверээс асуулгыг шууд тэр хаяг руу дамжуулах нь дэмжигдэхгүй бөгөөд тогтворгүй үр дүн гаргаж болзошгүй гэж баримтжуулдаг.
Энэ нь туршилт хэзээ ч ажиллаж байгаа мэт харагдахгүй гэсэн үг биш юм. Энэ нь зан төлөв нь тусламжийн скриптэд хийж болох гэрээ биш гэсэн үг юм. Дэмжигдсэн чиглэл нь орж ирэх Resolver endpoint: таны VPC доторх хос хаяг, таны хянадаг сүлжээнээс хүрч болох, AWS-ийн гаднаас ирж буй асуулгыг хүлээн авдаг.
Замыг цэвэрхэн эвдэрдэг дарааллаар нь байгуулна
Гурван үсрэлт байх ёстой бөгөөд тус бүр өөрийн гэсэн эвдрэх аргатай.
VPN client -> approved DNS forwarder
forwarder -> forwarding rule for internal.example
forwarding rule -> Resolver inbound endpoint addressesДамжуулагчид VPN-ээр endpoint-ийн хаягууд руу чиглэсэн зам хэрэгтэй бөгөөд буцах зам ч ажиллах ёстой. 53 порт дээрх уламжлалт DNS-ийн хувьд endpoint нь UDP болон TCP-ээр хариулдаг тул хоёр протоколыг зөвшөөрөх ёстой бөгөөд хоёулаа дунд байх аливаа төлөвийн шалгалтыг давах ёстой.
Дараа нь DNS харагдацыг тусад нь шалгана. Хувийн хостлогдсон бүс нь зөвхөн холбогдсон VPC-уудад харагдана, эсвэл зориудын хуваалцах зохицуулалтаар харагдана. Хүрч болох endpoint нь өөрөө бүх хувийн бүсийг өөрийн шийдвэрлэх нөхцөлд шийдэгдэх болгодоггүй.
Гарч буй endpoint нь эсрэг чиглэлд үйлчилдэг бөгөөд таны зөөврийн компьютерээс орж ирэх асуулгад хариулахгүй.
Хоёр төгсгөлөөс баталгаажуулна
Клиентээс дамжуулагч руу, дараа нь дамжуулагчаас endpoint руу асууна. Клиент эвдэрч, дамжуулагч амжилттай болбол завсар нь тэр хоёрын хооронд байна.
Хоёулаа эвдэрвэл endpoint дээрх аюулгүй байдлын бодлого болон түүний бодитоор харж буй эх хаягийг харна. NAT-ийн ард байгаа дамжуулагч зөөврийн компьютерийн VPN хаягийн оронд NAT хаягийг үзүүлдэг бөгөөд зөвхөн энэ ялгаа нь асуулгыг хаяхад хангалттай. Хоёулаа амжилттай боловч програм ажиллахгүй хэвээр байвал програм таны туршсанаас өөр resolver ашиглаж байж болно.
Нийтийн болон хувийн нэрийн орон зайг зориуд тусад нь байлгана. Split DNS нь таны тохируулах бодлого бөгөөд нэг хайлт санамсаргүйгээр өгөгдөл буцаасны дагалдах нөлөө биш юм.
Миний хийхгүй зүйл
Нэг хайлтыг ажиллуулсан NAT дүрмийг нэмж, үүнийг загвар гэж нэрлэхгүй.
Нэг туршилт нэг удаа бичлэг буцаасан гэж бүх алсын клиентийг нэмэх хоёр хаяг руу чиглүүлэхгүй. Нэг дамжуулагчид хандалт хэрэгтэй үед endpoint-ийн аюулгүй байдлын бодлогыг бүх VPN сан руу тэлэхгүй. Байгууллага VPC дотор аль хэдийн зөвшөөрөгдсөн дамжуулагч ажиллуулж байгаа бол эхлээд тэр загварыг уншаарай, учир нь таны нэмсэн хоёр дахь endpoint нь хэн ч баримтжуулдаггүй нь юм.