Яагаад хувийн Route 53 бүс нийтийн нэрсийн хувьд NXDOMAIN буцаадаг вэ

Хувийн Route 53 бүсүүд нийтийн бичлэгтэй нэгдэхийн оронд нэрний хариултыг сольдог бөгөөд энэ нь хүмүүсийг хамгийн муу мөчид гайхшруулдаг. Дараах нэрэнд нэг дотоод бичлэг нэмнэ үү: api.example.net нэрийн хувьд дараах хувийн бүсэд: example.net бүсэд нэмж, түүнийг VPC-тэй холбоход тэр эцгийн доорх бусад бүх нэр зөвхөн хувийн бүсээс хариулагдана. Өчигдөр www.example.net хаягт хүрч байсан клиент өнөөдөр сөрөг хариулт авна. Доорх тайлбар тэр бүтэлгүй асуултаас эхэлж, түүнд хариулсан бүс рүү гадагш явна.

Консолоос биш, асуултаас эхэл

Алдааг мэдээлсэн клиент дээр давтан гаргаж, яг нэрийг болон бичлэгийн төрлийг тэмдэглэ. A төрөлд бүтэлгүйтэж буй нэр AAAA төрөлд хараахан шийдэгдэж болно, мөн кэшлэсэн нэрийг дахин оролдож буй хөтөч аль нь эвдэрснийг нуудаг. Асуултыг хоёр удаа ажиллуул: нэг удаа клиентийн бодитоор ашиглаж буй resolver-ээр, нэг удаа түүнийг тойрч өнгөрөх tracing-тэй.

dig +short api.example.net
dig www.example.net +noall +comments +authority
resolvectl query www.example.net

Хоёр дахь команд нь чухал. Түүний төлөвийн мөр болон authority хэсэг нь хариултыг үүсгэсэн бүсийг нэрлэдэг тул хувийн бүсээс ирсэн сөрөг хариултыг тайм-аут, блоклогдсон порт эсвэл асуултыг хэзээ ч аваагүй resolver-ээс ялгаж чадна. resolvectl аль дээд серверээс асуусныг харуулдаг бөгөөд энэ нь ихэвчлэн VPN-ээс илгээсэн гэж таамагласан resolver биш байдаг.

Хэрэв tracing-тэй асуулт нийтийн хаягийг буцааж, энгийн асуулт буцаахгүй бол нийтийн бичлэг бүрэн бүтэн бөгөөд хариулж байгаа нь хувийн харагдац юм. Яг энэ нэг харьцуулалт энэ хуудасны үлдсэн хэсгийн аль тал танд хамаарахыг шийднэ.

Аль бүс хариулсныг унш

Дараахыг агуулсан хариулт: NXDOMAIN болон authority хэсэгт хувийн бүсийн SOA байвал, энэ нь тэр бүсийн эцсийн хариулт бөгөөд бүтэлгүй хайлт биш. Route 53 Resolver нэр таарсан тул хувийн хостлосон бүсийг сонгосон, дараа нь хүссэн төрлийн бичлэг олдсонгүй, мөн баримтжуулсан зан төлөв нь асуултыг нийтийн DNS рүү дамжуулахын оронд сөрөг хариултыг буцаах явдал юм.

Сонголт нь нарийвчлалыг дагадаг. Хэд хэдэн хувийн нэрийн орон зай давхцах үед хамгийн нарийвчилсан тохирох бүс ялж, илүү өргөн хувийн эцэг нь сонгосон охин бүсэд байхгүй нэрэнд хоёр дахь боломж авдаггүй. Дамжуулах дүрмүүд дахин нэг давхарга нэмдэг, учир нь домэйнд тусгай Resolver дүрэм хувийн хостлосон бүсийн холбоосыг давж болно. Бүс хоосон гэж дүгнэхээс өмнө холбоос болон дүрмүүдийг жагсаа.

aws route53 list-hosted-zones-by-name --dns-name example.net.
aws route53 list-resource-record-sets --hosted-zone-id Z0EXAMPLEID --query "ResourceRecordSets[?Type=='A'].[Name,ResourceRecords[0].Value]"

Хоёр команд хоёулаа бүсийг эзэмшиж буй бүртгэлийн итгэмжлэл шаардана, хоёр дахь нь эхнийхээс бүсийн ID шаардана. Үүнийг өөрийн ID-аар солино уу; дээрх орлуулагч санаатайгаар бодит биш.

Хувийн бүс яагаад ялдаг вэ

Бүсийг VPC-д харагдахуйц болгодог нь холбоос бөгөөд тэр VPC дахь resolver үүнийг хэрэглэдэг. Клиентийн урсгал ирж буй VPC-тэй холбогдоогүй хувийн бүс огт нөлөөгүй, харин буруу VPC-тэй холбох нь буруу хүн амд хувийн хариулт үүсгэдэг. Бичлэг засахаас өмнө холбоосын жагсаалтыг шалга, учир нь бүс зөв байсан ч үл үзэгдэх байж болно.

Давхцсан нэрийн орон зай нь төөрөгдлийн хоёр дахь эх сурвалж. example.net нэрийн хувийн бүс болон api.example.net нэрийн хувийн бүс хоёулаа API асуулттай тохирч, илүү нарийвчилсан нь хариулна. Энэ нь нарийн дотоод нэрийн орон зай хүсэхэд ашигтай, харин нарийн бүсэд илүү өргөн бүсэд байгаа бичлэг дутагдахад аюултай. Хувийн хостлосон бүсийн тухай санаа Route 53 баримт бичигт доош унах зан төлөв болон дүрмийн тэргүүлэх чиглэлийг хоёуланг нь тайлбарладаг бөгөөд хоёр дахь давхцсан бүс нэмэхээс өмнө унших нь зүйтэй.

Эдгээрийн аль нь ч нийтийн бүсийг өөрчлөхгүй. Нийтийн resolver-ууд нийтийн бичлэгт зөв хариулсаар байна, тиймээс VPC-ээс гаднах бүх хүнд энэ алдаа клиентийн асуудал мэт харагддаг.

Бичлэг нэмэхээс өмнө нэрийн орон зайг сонго

Хэрэв зөвхөн дотоод үйлчилгээний шинэ гэр бүлд хувийн нэрс хэрэгтэй бол түүнд зориулсан хувийн дэд домэйн өгч, нийтийн эцгийг тайван орхи. internal.example.net -тэй адил нэр www.example.net -ийг сүүдэрлэж чадахгүй бөгөөд дутуу бичлэгийн нөлөөний радиус нь тухайн зорилгоор таны бодож олсон нэрсээр хязгаарлагдана. Үнэ нь одоо байгаа URL болон сертификатууд шинэ нэртэй тохирохгүй байж болно.

Нийтийн болон хувийн хэрэглэгчид ижил хост нэрийг хадгалах шаардлагатай үед хуваасан харагдацын DNS нь дэмжигдсэн загвар бөгөөд харагдац бүрт бичлэгүүдийг тодорхой хадгалахыг шаарддаг. Нэг л бичлэгтэй өргөн хувийн бүс нь тухайн бүсийн доорх нийтийн хамаарлыг хадгалдаггүй; оронд нь нэг бичлэгтэй бүсээр сольдог.

Клиентийн хүн амыг хувийн харагдац руу чиглүүлэхээс өмнө аппликейшн бодитоор дуудаж буй нэрсийг жагсаа. Нэвтрэх хост, статик нөөцийн хост, дахин чиглүүлэх зорилт болон API төгсгөлийн цэгүүд хамгийн түрүүнд эвдэрдэг бөгөөд тэдгээр нь ихэвчлэн хэд хэдэн багийн бичлэгт тархсан байдаг.

Resolver-ийн замыг, дараа нь маршрутыг мөрд

Зөөврийн компьютер хувийн харагдацыг зөвхөн асуултууд нь холбоостой resolver-д хүрэх үед л хардаг. VPN сервер дээрх hosts файлыг засах нь холбогдсон клиентүүдэд юу ч нийтлэхгүй бөгөөд нийтийн resolver-ээр тохируулсан клиент туннель босоо байх хугацаанд нийтийн хариултыг үргэлжлүүлэн авна. Клиентийн авсан resolver хаягийг баталгаажуул, дараа нь асуултыг серверээс биш, клиентээс давт.

Нэр шийдэгдсэний дараа буцаасан хаяг хүртэлх замыг тусдаа алхам болгон туршиж үз, жишээ нь ip route get -ээр асуултын буцаасан хаягийн эсрэг. Хаяг хүртэлх маршрутгүй зөв хувийн хариулт нь маршрутжуулалтын асуудал, харин бичлэг байхгүй гэсэн хариулт нь DNS харагдацын асуудал; хоёрыг нэг асуудал гэж үзвэл тогтворгүй засвар гардаг. Үйлчилгээний TLS хост нэр болон сертификатын шалгалтыг өөрчлөхгүй орхи, учир нь хувийн хаяг нь холболт хаашаа явахыг өөрчилдөг, аль сертификат хүчинтэй гэдэгт юу ч өөрчлөхгүй.

Өөрчлөлтийн тэмдэглэлд бүс, холбоос, resolver болон шалгасан нэрсээ бичээд дуусга. Тэгвэл дараа нь бичлэг нэмэх хүн тэр клиентийн хүн амд аль нэрийн орон зай эрх мэдэлтэйг мэдэх болно.