Хоёр байршил, нэг хувийн DNS бүс: бүртгэл хэнийх вэ?

Та ногоон байршилд хост нэмэхэд энэ нь ногоон хэрэглэгчдэд шийдэгдэж, шар оффис NXDOMAIN хүлээн авсаар байна. Энэ нь VPN-ийн алдаа ч биш, эвдэрсэн шийдвэрлэгч ч биш; энэ нь хувийн бүс доторх өмчлөлийн цоорхой юм. Тусдаа засварласан хоёр бүртгэлийн жагсаалт нь байршлууд бие биедээ хүрч чаддаг гэсэн шалтгаанаар л нэг бүс болохгүй. Шийдэл нь нийтлэх төлөвлөгөө болохоос өөр галт ханын дүрэм биш.

Шинж тэмдэг нь алга болсон эзэмшигчийг нэрлэнэ

Байршил бүрт хэн нэгэн нэр хэрэгтэй болсон үед нэмсэн локал дарагдуулалт, Pi-hole бичлэг эсвэл dnsmasq мөр байх магадлалтай. Ногоон бүртгэл зөвхөн ногоон шийдвэрлэгчид байдаг тул шар дахь клиент өөрийн шийдвэрлэгчээс асууж, үнэн "тийм нэр байхгүй" гэсэн хариулт авдаг. Хуучирсан хариулт өөр харагдана: хост шилжсэн, нэг байршил хуулбараа шинэчилсэн, нөгөө нь хуучин хаягийг буцаасан хэвээр байна.

Аль ч загвар кэш цэвэрлэхээр удаан засагдахгүй. Дамжуулагч шийдвэрлэгчийн кэш нь нэг удаа авсан хариултын хуулбар, шинэ нэр нийтэлдэг эрх мэдэл биш тул өнөөдөр ажиллаж буй кэш маргаашийн хостын тухай юу ч хэлэхгүй. BIND-ийн баримт бичиг үндсэн, хоёрдогч, рекурсив, дамжуулагч үүргийг яг энэ шалтгаанаар тусад нь тайлбарладаг.

Тиймээс дизайны асуулт нарийн бөгөөд хариулах боломжтой: хэн бүртгэл үүсгэж болох, тэр бүртгэл түүнд хариулах ёстой шийдвэрлэгч бүрт хэрхэн хүрэх вэ?

A хувилбар: хоёрдогчтой нэг эрх бүхий бүс

internal.example.com-д зориулж үндсэн ажиллуулж, дэмжигдсэн хоёрдогчтой бүсийг байршил бүрт авахыг зөвшөөрнө үү. Байршил бүрийн рекурсив шийдвэрлэгч өөрийн локал хоёрдогчоос асуудаг тул хариултууд кэшээс биш, эрх бүхий эх сурвалжаас ирдэг бөгөөд нэг удаа хийсэн өөрчлөлт дахин бичигдэхийн оронд шилждэг.

Ийм зохион байгуулалт нь хойшлуулахад хялбар, алгасах нь үнэтэй тодорхой шийдвэрүүдийг шаарддаг. Бүсийг хэн засварлаж болох вэ? Аль серверүүд түүнийг шилжүүлэхийг зөвшөөрөгдсөн, ямар хаягаар? Байршлуудын хоорондох туннель унасан үед клиентүүд юу харах ёстой вэ? Хоёрдогч нь сүүлийн хуулбараасаа хариулсаар байдаг бөгөөд энэ нь ихэвчлэн хүссэн зан төлөв боловч энэ нь зарласан сонголт байх ёстой, тасалдлын үеийн гэнэтийн зүйл биш.

Бүс шилжүүлэлтийг хаягаар мэдэгдэж буй хоёрдогчоор хязгаарлаж, хэрэгжүүлэлт дэмждэг газрт гүйлгээний гарын үсэг ашиглана уу. Нээлттэй шилжүүлэлт нь портод хүрч чадах хэн бүхэнд зориулсан таны дотоод нэрийн орон зайн хуулбар юм.

Үнэ нь зохицуулалт: нэг засварын зам, нэг өөрчлөлтийн хяналт, бүртгэл буруу үед хэн жижүүрт байгаа тухай хамтын ойлголт.

B хувилбар: байршил бүрт дэд домэйн

green.internal.example.com-ийг ногоон байршилд, yellow.internal.example.com-ийг шар байршилд шилжүүлнэ үү. Байршил бүр өөрийн нэрсийн хувьд эрх бүхий болж, эх бүс нь зөвхөн шилжүүлгийн бүртгэлийг агуулна. Нэг файлын төлөөх маргаан арилж, орон нутгийн баг төвлөрсөн өөрчлөлтийг хүлээхгүйгээр хост нэмж чадна.

Шилжүүлэг нь эх бүст байх ёстой бөгөөд байршлын эрх бүхий серверүүд рүү чиглэсэн NS бүртгэлтэй байна. Бүрэн шилжүүлэг практик биш үед дэд домэйнд нөхцөлт дамжуулалт хүчинтэй хувилбар боловч энэ нь шийдвэрлэгчийн тохиргоо, нийтэлсэн баримт биш тул шийдвэрлэгч бүрт ижил дүрэм хэрэгтэй.

Үнэ арилахаас илүү шилждэг: эх бүст эзэмшигч хэрэгтэй хэвээр, шинэ байршил үүсгэх нь одоо нэг биш хоёр газарт өөрчлөлт юм.

Шийдвэрлэгч бүр сонголтыг дагах болтугай

Дэмжигдсэн тохиргоогоор клиентүүдэд зөвшөөрөгдсөн шийдвэрлэгч болон хайлтын домэйныг өгч, дараахыг баталгаажуулна уу: шийдвэрлэгч асуух ёстой аливаа алсын DNS сервер рүү зөвшөөрөгдсөн VPN замтай байна. Аппликейшнүүдэд мөн эдгээр хариултын буцаадаг хувийн хаягууд руу зам хэрэгтэй, учир нь замгүй зөв нэр ч эвдэрсэн холболт хэвээр.

Хэрэв Pi-hole локал шийдлийг өгдөг бол ямар бүртгэл түүний эзэмшилд байгаа, ямар асуулгыг дамжуулдагийг бичиж тэмдэглээрэй. Тусдаа засварласан хоёр Pi-hole жагсаалт хуулагдсаар байхгүй. Pi-hole v6-д өөрчилсөн dnsmasq мөрүүдийг TOML, CLI эсвэл орчны хувьсагч зэрэг хостын талын сонголтоор тохируулдаг бөгөөд API-аар илрүүлдэггүй; /etc/dnsmasq.d/ файлуудыг ачаалах нь өгөгдмөлөөр унтраалттай тусдаа сонголт юм.

Дараа нь хаа сайгүй харагдах ёстой нэрээр хоёр талаас туршина уу:

$ dig +short newhost.green.internal.example.com @10.20.0.53
10.20.0.41
$ dig +short newhost.green.internal.example.com @10.30.0.53
10.20.0.41
$ dig SOA internal.example.com @10.30.0.53

SOA хариулт нь шар шийдвэрлэгч өөрийгөө эрх бүхий гэж үзэж байгаа, хоёрдогчоос асууж байгаа эсвэл зөвхөн дамжуулж байгааг хэлнэ. Эдгээр нь өөр өөр алдааны горимтой өөр дизайнууд бөгөөд хариулт нь таныг үнэхээр аль нэгийг нь нэвтрүүлснийг ихэвчлэн тодорхойлдог.

Гурван хүлээн авах тохиолдлоор дуусгана уу: байршил бүрээс нэг нэр, нэг цагийн дотор өөрчлөгдсөн нэг бүртгэл, байршлуудын хоорондох холбоос ашиглах боломжгүй байх. Зөвхөн эхнийх нь давдаг дизайн цаасан дээр нийтлэх төлөвлөгөөтэй, үйлдвэрлэлд локал дарагдуулалттай байдаг.