Rekursi tidak tersedia: dasar DNS, bukan terowong rosak

Nama dalaman diselesaikan, dan pelayan yang sama menjawab nama luaran dengan penolakan tentang rekursi. Gabungan itu bukan percanggahan. Menerbitkan zon sendiri dan menyelesaikan seluruh internet ialah dua perkhidmatan berasingan yang boleh ditawarkan pelayan, dan ia boleh melakukan yang pertama tanpa yang kedua. Layan penolakan itu sebagai pernyataan dasar, kemudian semak sama ada dasar itu sepadan dengan reka bentuk.

Penolakan dan tamat masa ialah jawapan berbeza

Catat nama, jenis pertanyaan, pelayan yang menjawab, status dan rekod yang dikembalikan. Amaran rekursi tidak membatalkan jawapan berwibawa yang datang bersamanya secara automatik. Tulis status itu sebelum anda mentafsirkannya. Status yang dibina semula daripada ingatan sejam kemudian ialah fakta lain.

Pengepala DNS membawa permintaan rekursi dan petunjuk sama ada pelayan menawarkannya, dan spesifikasi protokol menyimpan bendera itu berasingan daripada data jawapan. Itulah sebabnya jawapan boleh berguna dan masih membawa aduan. Tamat masa, jawapan negatif dan penolakan ialah tiga hasil berbeza. Setiap satu menunjuk ke lapisan berbeza, dan hanya penolakan ialah pelayan yang memberitahu anda tentang dasar.

Baca kod status dahulu, kemudian tentukan sama ada amaran itu penting untuk pertanyaan ini. Jawapan berwibawa yang menamakan zon itu boleh digunakan walaupun bit rekursif ditolak. Penolakan tanpa jawapan ialah hasil dasar, bukan laluan paket yang rosak.

Apa yang pencari rekod catat sebagai sumber anda

Klien mungkin datang dari kumpulan alamat di luar julat rekursif pelayan yang dibenarkan, atau terjemahan mungkin membuatnya kelihatan seperti get laluan. Alamat penyesuai klien sendiri bukan bukti tentang apa yang diterima pencari rekod. Tanya pentadbir pelayan tentang sumber yang diperhatikan dan bukannya membuat kesimpulan dari sisi anda pada laluan itu. Kedua-dua alamat boleh berbeza pada setiap hop yang menterjemah.

Tanya nama yang sama dari klien dan dari hos yang pelayan sudah percaya. Perbezaan antara kedua-dua jawapan ialah syarat sumber, dan ia lebih berguna daripada mana-mana satu jawapan sahaja.

dig +short host.corp.example
dig +short example.com

Jika penggunaan ingin rekursi untuk klien VPN, pentadbir membenarkan julat sumber yang sesuai melalui kawalan pelayan sendiri. Membuka rekursi kepada setiap rangkaian supaya satu ujian lulus ialah perubahan yang jauh lebih besar daripada yang sedang diuji. Tulis julat yang dibenarkan di sebelah peraturan, kerana penyemak seterusnya akan bertanya sumber mana yang dasar itu sepatutnya layan. Julat sumber tanpa pemilik ialah cara ujian sementara menjadi kekal.

DNS berpecah ialah reka bentuk, bukan kerosakan

Sesetengah penggunaan menghantar domain kerja sahaja kepada pencari rekod peribadi dan semua yang lain kepada pencari rekod lain yang diluluskan. Itu ialah reka bentuk penghalaan pertanyaan, dan ia bukan bukti bahawa pelayan peribadi memerlukan dasar yang lebih longgar. Di bawah reka bentuk itu, nama luaran yang gagal melalui pencari rekod peribadi ialah hasil yang dimaksudkan dan bukan kerosakan. Penolakan itu ialah reka bentuk yang berfungsi, bukan gejala yang perlu diredamkan.

Pencari rekod awam boleh memulihkan pelayaran sambil memecahkan nama dalaman atau menghantar pertanyaan peribadi ke tempat yang sepatutnya tidak dituju. Tulis tingkah laku yang dimaksudkan sebelum menukar mana-mana alamat pencari rekod.

Sahkan dasar dengan dua pertanyaan

Selepas pembetulan yang dimaksudkan, tanya nama peribadi yang dibenarkan dan nama luaran dari klien sebenar. Apa yang kembali sepatutnya apa yang dasar janjikan, bukan sekadar diagnostik yang lebih senyap. Catat pelayan yang menjawab dengan setiap jawapan, kemudian bandingkan pasangan itu dengan dasar. Perbandingan itulah ujian, dan satu carian yang berjaya bukan.

resolvectl query host.corp.example
resolvectl query example.com

Jika nama peribadi berfungsi dan nama awam ditolak, dasar itu melakukan apa yang dikatakannya. Jika nama peribadi juga gagal, masalahnya ialah zon, laluan atau kebenaran sumber, dan rekursi ialah pengalih perhatian. Kedua-dua hasil berguna, dan setiap satu menolak separuh hipotesis yang tinggal.

Baca penolakan itu sebagai bukti

Penolakan ialah jawapan. Ia bermaksud pelayan menerima pertanyaan itu dan enggan melakukan kerja yang diminta, yang berbeza daripada paket yang tidak pernah tiba. Perbezaan itulah seluruh diagnosis. Catat ia sebagai jawapan, bukan sebagai kegagalan sambungan.

Perbezaan itu memberitahu anda ke mana hendak melihat: log pelayan, dasar aksesnya dan sumber yang dicatatnya. Perubahan tembok api tidak boleh membaiki penolakan dasar, dan perubahan dasar tidak boleh membaiki laluan yang hilang. Pisahkan kedua-dua hipotesis sehingga salah satu daripadanya mempunyai bukti.

Tulis hasil dan pemilik dasar ke dalam tiket, supaya orang seterusnya bermula dari keputusan dan bukan dari amaran itu. Namakan julat sumber yang dibenarkan dan dua nama yang anda uji. Tiket dengan tiga fakta itu boleh dijalankan semula; tiket yang berkata "rekursi rosak" tidak boleh.