रिकर्शन उपलब्ध नाही: DNS धोरण, तुटलेली बोगदा नाही

अंतर्गत नाव सोडवले जाते, आणि तोच सर्व्हर बाह्य नावाला रिकर्शनबद्दल नकार देऊन उत्तर देतो। हे संयोजन विरोधाभास नाही। स्वतःचे झोन प्रकाशित करणे आणि संपूर्ण इंटरनेट सोडवणे ह्या सर्व्हर देऊ शकतो अशा दोन वेगळ्या सेवा आहेत, आणि तो पहिली दुसरीशिवाय करू शकतो। नकाराला धोरणाचे विधान माना, नंतर धोरण रचनेशी जुळते का ते तपासा।

नकार आणि टाइमआउट वेगवेगळी उत्तरे आहेत

नाव, क्वेरी प्रकार, उत्तर देणारा सर्व्हर, स्थिती आणि परत मिळालेले रेकॉर्ड नोंदवा। रिकर्शन इशारा त्यासोबत आलेल्या अधिकृत उत्तराला आपोआप अवैध करत नाही। स्थितीचा अर्थ लावण्यापूर्वी ती लिहा। एका तासानंतर स्मरणातून पुनर्रचित स्थिती वेगळी वस्तुस्थिती आहे।

DNS हेडर रिकर्शनची विनंती आणि सर्व्हर ती देतो का याचा संकेत ठेवतो, आणि प्रोटोकॉल तपशील ते फ्लॅग उत्तराच्या डेटापासून वेगळे ठेवतो। म्हणून उत्तर उपयुक्त असू शकते आणि तरीही तक्रार ठेवू शकते। टाइमआउट, नकारात्मक उत्तर आणि नकार हे तीन वेगवेगळे निष्कर्ष आहेत। प्रत्येक वेगळ्या स्तराकडे निर्देश करतो, आणि फक्त नकार हाच सर्व्हर तुम्हाला धोरणाबद्दल सांगत असतो।

आधी स्थिती कोड वाचा, नंतर ह्या क्वेरीसाठी इशारा महत्त्वाचा आहे का ते ठरवा। झोनचे नाव देणारे अधिकृत उत्तर रिकर्सिव्ह बिट नाकारला गेला तरी वापरण्यायोग्य असते। उत्तराशिवाय नकार हा धोरणाचा निष्कर्ष आहे, तुटलेला पॅकेट मार्ग नाही।

रिझॉल्व्हरने तुमचा स्रोत म्हणून काय नोंदवले

क्लायंट सर्व्हरच्या परवानगी असलेल्या रिकर्सिव्ह श्रेणींबाहेरच्या पत्ता तलावातून येऊ शकतो, किंवा भाषांतर त्याला गेटवेसारखा दाखवू शकते। क्लायंटचा स्वतःचा अडॅप्टर पत्ता रिझॉल्व्हरला काय मिळाले याचा पुरावा नाही। मार्गाच्या तुमच्या बाजूने अंदाज न लावता सर्व्हरच्या प्रशासकाला निरीक्षित स्रोत विचारा। भाषांतर करणाऱ्या प्रत्येक हॉपवर दोन्ही पत्ते वेगळे असू शकतात।

तेच नाव क्लायंटकडून आणि सर्व्हर ज्यावर आधीच विश्वास ठेवतो त्या होस्टकडून क्वेरी करा। दोन उत्तरांमधला फरक हाच स्रोत स्थिती आहे, आणि तो कोणत्याही एका उत्तरापेक्षा उपयुक्त आहे।

dig +short host.corp.example
dig +short example.com

जर तैनातीला VPN क्लायंटसाठी रिकर्शन हवे असेल, तर प्रशासक सर्व्हरच्या स्वतःच्या नियंत्रणांद्वारे योग्य स्रोत श्रेणी अधिकृत करतो। एक चाचणी उत्तीर्ण व्हावी म्हणून प्रत्येक नेटवर्कसाठी रिकर्शन उघडणे हे चाचणीत असलेल्या बदलापेक्षा खूप मोठे आहे। अधिकृत श्रेणी नियमाच्या शेजारी लिहा, कारण पुढील पुनरावलोकनकर्ता विचारेल की धोरण कोणत्या स्रोतांना सेवा द्यायचे होते। मालक नसलेली स्रोत श्रेणी हाच तात्पुरती चाचणी कायमस्वरूपी होण्याचा मार्ग।

विभाजित DNS ही रचना आहे, दोष नाही

काही तैनाती फक्त कामाचे डोमेन खाजगी रिझॉल्व्हरला आणि बाकी सर्व दुसऱ्या मंजूर रिझॉल्व्हरला पाठवतात। ही क्वेरी-राउटिंग रचना आहे, आणि खाजगी सर्व्हरला अधिक सैल धोरण हवे याचा पुरावा नाही। त्या रचनेत खाजगी रिझॉल्व्हरमधून बाह्य नाव अयशस्वी होणे हा हेतुत निष्कर्ष आहे, दोष नाही। नकार हे रचना कार्यरत असल्याचे लक्षण आहे, दाबून टाकावयाचे लक्षण नाही।

सार्वजनिक रिझॉल्व्हर ब्राउझिंग परत आणू शकतो पण अंतर्गत नावे तोडू शकतो किंवा खाजगी क्वेरी जिथे जाऊ नयेत तिथे पाठवू शकतो। कोणताही रिझॉल्व्हर पत्ता बदलण्यापूर्वी हेतुत वर्तन लिहा।

दोन क्वेरींनी धोरण सत्यापित करा

हेतुत दुरुस्तीनंतर प्रत्यक्ष क्लायंटकडून परवानगी असलेले खाजगी नाव आणि बाह्य नाव क्वेरी करा। परत येणारे धोरण जे वचन देते तेच असावे, केवळ अधिक शांत निदान नाही। प्रत्येक उत्तरासोबत उत्तर देणारा सर्व्हर नोंदवा, नंतर जोडीची धोरणाशी तुलना करा। तुलना हीच चाचणी आहे, आणि एक यशस्वी शोध नाही।

resolvectl query host.corp.example
resolvectl query example.com

जर खाजगी नाव काम करत असेल आणि सार्वजनिक नाव नाकारले जात असेल, तर धोरण जे सांगते ते करत आहे। जर खाजगी नावही अयशस्वी झाले, तर समस्या झोन, मार्ग किंवा स्रोत अधिकृततेत आहे, आणि रिकर्शन लक्ष विचलित करणारे आहे। दोन्ही निष्कर्ष उपयुक्त आहेत, आणि प्रत्येक उर्वरित अर्ध्या गृहीतके काढून टाकतो।

नकार पुरावा म्हणून वाचा

नकार हे उत्तर आहे। म्हणजे सर्व्हरला क्वेरी मिळाली आणि त्याने मागितलेले काम करण्यास नकार दिला, जे कधीही न आलेल्या पॅकेटपेक्षा वेगळे आहे। हाच फरक संपूर्ण निदान आहे। तो उत्तर म्हणून नोंदवा, कनेक्टिव्हिटी अपयश म्हणून नाही।

हा फरक सांगतो कुठे पाहावे: सर्व्हरचे लॉग, त्याचे प्रवेश धोरण आणि त्याने नोंदवलेला स्रोत। फायरवॉल बदल धोरणाचा नकार दुरुस्त करू शकत नाही, आणि धोरण बदल गहाळ मार्ग दुरुस्त करू शकत नाही। दोन्ही गृहीतके एकाला पुरावा मिळेपर्यंत वेगळी ठेवा।

निष्कर्ष आणि धोरणाचा मालक तिकिटात लिहा, जेणेकरून पुढील व्यक्ती इशाऱ्यापासून नाही तर निर्णयापासून सुरुवात करेल। अधिकृत स्रोत श्रेणी आणि तुम्ही तपासलेली दोन नावे नमूद करा। त्या तीन तथ्यांसह तिकीट पुन्हा चालवता येते; "रिकर्शन तुटलेले आहे" असे म्हणणारे तिकीट येऊ शकत नाही।