BIND melalui VPN: pemajuan bersyarat atau zon stub?

Resolver pejabat anda menjawab semua kecuali satu ruang nama korporat, dan pelayan DNS korporat yang mengetahuinya berada di belakang VPN. BIND boleh menyerahkan zon tunggal itu kepada upstream dalam tiga cara berbeza, dan ia gagal secara berbeza. Pemajuan bersyarat ialah komitmen terkecil, zon stub menyimpan data delegasi, dan secondary menyimpan salinan penuh. Pilih berdasarkan apa yang akan dibenarkan upstream dan apa yang anda mahu resolver anda simpan, bukan berdasarkan coretan mana yang anda jumpa dahulu.

Tiga susunan untuk satu ruang nama

Pemajuan bersyarat: komitmen terkecil

Andaikan resolver pejabat di 192.168.10.53 dan pelayan korporat di 10.40.0.53 yang boleh dicapai melalui terowong yang diluluskan. Pengisytiharan itu tiga baris, dan yang menarik ialah forward only, kerana ia mengubah tingkah laku kegagalan, bukan laluan.

zone "corp.example" {
    type forward;
    forward only;
    forwarders { 10.40.0.53; };
};

Dengan forward only, upstream yang tidak dapat dicapai menghasilkan SERVFAIL untuk zon ini dan bukannya jatuh kembali kepada penyelesaian berulang. Biasanya itulah yang anda mahu untuk ruang nama persendirian, kerana fallback akan menghantar nama persendirian kepada resolver awam dan memulangkan jawapan tidak berguna dari internet. Rujukan BIND mendokumenkan kedua-dua dasar, dan perbezaannya lebih penting daripada yang dicadangkan oleh coretan itu. Gabungkan zon ke dalam konfigurasi sedia ada dan bukannya menggantikan zon yang sudah wujud untuk nama yang sama.

Stub atau secondary: apabila delegasi penting

Zon stub meminta pelayan korporat untuk rekod NS zon itu dan kemudian menanyakan pelayan autoritatif secara langsung. Pilihnya apabila wilayah upstream besar atau terbahagi dan anda mahu resolver anda mengikut delegasi dan bukannya memakukan semuanya pada satu alamat. Kosnya ialah pergantungan pada data NS yang terkini, dan pada setiap pelayan nama yang disenaraikan boleh dicapai dari alamat sumber resolver anda.

zone "corp.example" {
    type stub;
    masters { 10.40.0.53; };
};

zone "corp.example" {
    type secondary;
    primaries { 10.40.0.53; };
    file "corp.example.db";
};

Secondary menjawab dari data tempatan dan bertahan semasa gangguan upstream, dan itulah sebabnya pergantungan pemindahan diterima. Ini juga bermakna resolver anda kini menyimpan salinan zon yang bukan miliknya, jadi laluan fail, ACL pemindahan pada primer dan pemasa muat semula semuanya menjadi bahagian permukaan operasi anda.

Pemeriksaan yang menentukan antara mereka

BIND menjana pertanyaan keluarnya sendiri, jadi soalannya bukan sama ada komputer riba boleh mencapai 10.40.0.53 tetapi sama ada hos resolver boleh, dari alamat sumber yang akan dilihat oleh pelayan korporat. Tanya kernel, kemudian tanya pelayan, dalam urutan itu.

ip route get 10.40.0.53
named-checkconf
rndc reload corp.example
dig @10.40.0.53 corp.example NS +norecurse
dig @192.168.10.53 portal.corp.example

Benarkan UDP dan TCP pada laluan: jawapan terpotong memaksa TCP, dan dasar yang hanya membenarkan UDP menghasilkan kegagalan berselang yang kelihatan seperti kehilangan paket. Pihak korporat memerlukan peraturan terima untuk sumber resolver anda dan laluan balik kepadanya; sumber itu mungkin alamat berhalakan resolver atau alamat yang diterjemahkan secara eksplisit, dan jarang sekali alamat kumpulan klien. Jika pertanyaan NS gagal, zon stub tidak boleh berfungsi, apa pun tingkah laku zon forward.

Sahkan jawapannya, bukan terowongnya

Tanyakan melalui resolver pejabat untuk nama yang tidak pernah anda minta, dan periksa bahagian authority jawapan untuk melihat sama ada ia datang dari zon korporat. Jawapan dalam cache tidak membuktikan apa-apa tentang laluan semasa, dan pertanyaan langsung yang berjaya ke upstream tidak membuktikan resolver anda memilih zon itu. Ulangi pertanyaan yang sama melalui TCP untuk mengesahkan laluan bertahan semasa pemotongan.

Kekalkan klien menghala ke resolver pejabat, dan biarkan pengesahan DNSSEC terus dihidupkan. Pelayar yang dikonfigurasikan dengan resolver penyulitan bebas memintas susunan ini sepenuhnya, dan mematikan pengesahan supaya jawapan tidak dijangka kelihatan betul menukar kegagalan yang kelihatan dengan yang tidak kelihatan.

Catat jenis mana antara tiga yang anda pilih dan mengapa. Orang seterusnya yang melihat zon itu gagal akan memerlukan ayat itu lebih daripada fail konfigurasi.