DNS rumah api Nebula: siapa boleh menanyakan rekod yang mana?
Pendengar pilihan menjawab daripada data hos yang dipegang rumah api. Pertanyaan rekod A dan TXT berbeza dari segi ketercapaian dan audiens, jadi ikat ia dengan sengaja.
Peranan rumah api dalam Nebula melakukan banyak kerja yang orang andaikan automatik, dan menjawab DNS bukan salah satunya. Melayan nama ialah pendengar pilihan yang bermula dalam keadaan mati, sebab itu hos yang menyelesaikan nama dengan baik dalam overlay mungkin tidak mempunyai apa-apa untuk menyelesaikan komputer riba rakan sekerja. Sebelum menghidupkannya, tentukan siapa yang patut mencapainya dan jenis rekod mana yang anda sanggup jawab, kerana kedua-dua jawapan itu berbeza.
Pendengar itu pilihan dan dimatikan secara lalai
Penemuan dan DNS ialah perkhidmatan berasingan. Rumah api membantu rakan sebaya menemui satu sama lain dan sebagai tambahan boleh menjawab pertanyaan nama tentang hos yang dikenalnya, tetapi bahagian kedua itu mesti dihidupkan secara jelas dalam konfigurasi.
Tentukan antara muka dan rangkaian mana yang patut mencapai pendengar sebelum anda mendayakan apa-apa. Perkhidmatan DNS yang menjawab pada antara muka yang tidak anda maksudkan menjadi kebocoran maklumat kecil tanpa satu pun entri log yang dibaca orang. Keputusan itu jauh lebih murah dibuat sekarang daripada disempitkan kemudian, apabila sesuatu bergantung pada jawapan yang salah. Dua baris konfigurasi lebih mudah dipertanggungjawabkan daripada nota insiden enam bulan kemudian.
Rekod A dan TXT tidak berkongsi audiens
Kedua-dua jenis rekod ini dijawab dalam keadaan berbeza, dan memperlakukannya sebagai satu perkhidmatan ialah kesilapan yang artikel ini wujud untuk menghalangnya.
| Query | What it returns | Who can reach it |
|---|---|---|
| A record for a host name | That host Nebula IP | Any host that can reach the listener, overlay or not |
| TXT for a host IP | Certificate information | Only over the Nebula network |
Asimetri itu disengajakan dan bukan kecuaian. Pemetaan nama ke alamat bernilai rendah bagi orang luar, manakala metadata sijil menerangkan identiti dalam overlay anda. Jangan bawa andaian dari satu baris ke baris lain semata-mata kerana proses yang sama menjawab kedua-duanya.
Ia hanya menjawab tentang hos milik rumah api sendiri
Ini bukan penyelesai umum untuk pejabat, VPC awan atau internet awam anda. Rumah api menjawab daripada maklumat hos yang diberikan kepadanya, sebab itu ciri ini tinggal pada nod rumah api dan bukan pada setiap rakan sebaya.
Apabila sesuatu nama gagal dan overlay tiada kaitan dengannya, cari zon dan penyelesai yang benar-benar memilikinya. Mencampurkan penyelesai overlay ke dalam konfigurasi DNS umum sesuatu hos menghasilkan kegagalan yang kelihatan rawak, kerana sesetengah nama diselesaikan dan yang lain tidak dijawab oleh apa-apa.
Perhatikan juga titik masuk bootstrap. Nama hos yang digunakan untuk mencapai rumah api pertama mesti diselesaikan melalui laluan biasa sebelum penemuan boleh bergantung padanya, jadi masalah ayam dan telur di sini kelihatan sama seperti overlay yang rosak. Ia malah melaporkan dengan cara yang sama: rakan sebaya yang tidak pernah naik dan tiada sebab yang jelas. Semak penyelesaian nama sebelum menyentuh sijil, kerana urutan itu menangkap orang yang bermula dengan separuh yang lebih sukar.
Semak alamat ikat, kemudian uji dari luar
lighthouse.dns.host dan lighthouse.dns.port menentukan di mana perkhidmatan pilihan mendengar. Semak nilai-nilai itu bersama firewall hos dan dasar rangkaian, kerana alamat ikat ialah pernyataan niat dan bukan kawalan keselamatan dengan sendirinya.
dig @10.42.0.1 -p 53 workstation.nebula A +short
dig @10.42.0.1 -p 53 10.42.0.7 TXT +shortTanyakan daripada rangkaian yang anda mahu benarkan, bukan daripada rumah api itu sendiri. Carian berjaya pada rumah api membuktikan proses itu berjalan dan tidak memberitahu anda apa-apa tentang apa yang boleh ditanya oleh hos luar, dan itulah soalan yang benar-benar penting.
Dedahkan dengan sengaja
Nama dan metadata sijil ialah maklumat operasi yang berguna, dan kegunaan memotong kedua-dua arah. Tentukan sama ada pendengar patut hanya untuk overlay, jenis rekod mana yang dibenarkan dan siapa yang menyemak konfigurasi apabila ia berubah.
Kemudian tuliskannya di sebelah tetapan rumah api. Orang seterusnya yang menyahpepijat kegagalan penyelesaian akan menganggap bahawa perkhidmatan itu sentiasa ada di situ. Dia juga akan menganggap ia sentiasa boleh dicapai dari mana-mana sahaja dia menguji. Satu perenggan yang merekodkan alamat ikat, rangkaian yang dibenarkan dan jenis rekod menjimatkan satu petang orang itu dan menjimatkan mesej yang bertanya mengapa sesuatu berubah.