Tunnel sudah aktif, jadi mengapa nama peribadi masih gagal?

Semua tentang sambungan kelihatan betul: tunnel aktif dan konsol menunjukkan titik akhir peribadi, tetapi setiap permintaan gagal pada penyelesaian nama. Langkah semula jadi ialah menyalahkan tunnel, yang biasanya didapati tidak bersalah. Pertanyaan dihantar kepada pelayan yang tidak tahu apa-apa tentang zon peribadi. Tiada perubahan penghalaan akan mengubah jawapan itu, kerana masalahnya ialah siapa yang ditanya.

Penyelesai mana yang menerima pertanyaan itu?

Cari penyelesai yang terikat pada setiap pautan sebelum melihat tunnel. Linux mendedahkan pelayan setiap pautan melalui arahan status penyelesai, dan macOS menunjukkan penyelesai berskop dalam dump konfigurasi DNSnya. Jika jawapan masih datang dari penghala rumah, pautan tunnel tidak pernah dirujuk.

resolvectl status
scutil --dns | head -40
dig +short internal.example.com

Dua peringkat dicampurkan di sini: pelayan yang menolak alamat penyelesai, dan klien yang memasangnya pada pautan aktif. Profil boleh mengandungi pilihan itu, dan log boleh menunjukkan ia tiba, sementara sistem pengendalian terus menggunakan pelayan lama. Bandingkan log dengan apa yang dilaporkan pautan, dan percayai pautan itu.

Gunakan alamat yang benar-benar dijawab oleh rangkaian awan

Rangkaian awan biasanya menjawab nama peribadi melalui alamat simpanan yang terletak dua kedudukan dari asas julat, jadi rangkaian yang bermula pada 10.0.0.0 menjawab pada 10.0.0.2. Sesetengah pembekal juga menerbitkan penyelesai tempatan pautan yang berfungsi tanpa mengetahui julat, yang membantu apabila rangkaian dibina oleh orang lain. Tanya alamat calon secara langsung sebelum menolaknya kepada sesiapa. Alamat yang bukan penyelesai kelihatan sama seperti penolakan tembok api, kerana pertanyaan itu tidak pernah menerima jawapan.

Jika pertanyaan langsung menjawab dari dalam rangkaian tetapi tidak melalui tunnel, penyelesai itu betul dan laluan antara dua titik itu tidak. Hasil itu memindahkan siasatan kepada laluan, pemajuan dan peraturan akses dan bukannya profil klien.

Tunnel tidak membawa ruang nama

Paket melintas; nama tidak. Setiap sisi mesti diberitahu ruang nama mana milik sisi lain, dan itu objek berasingan yang dimiliki oleh pemegang zon. Bentuk biasa ialah pemajuan untuk satu ruang nama, dihalakan kepada penyelesai yang boleh dicapai melalui tunnel.

Dalam amalan setiap arah memerlukan peraturannya sendiri, kerana sisi yang memiliki zon mesti menghantar pertanyaan itu. Kedua-dua arah memerlukan sumber pertanyaan dihalakan dan dibenarkan, dan sisi yang menjawab mesti memulangkan jawapan melalui tunnel dan bukannya ke internet. Kekalkan pemajuan itu sempit, supaya hanya ruang nama peribadi bergantung pada pautan. Menghantar setiap pertanyaan melaluinya menjadikan kebergantungan kecil menjadi gangguan sepenuhnya pada saat tunnel jatuh.

Lalui sempadan mengikut urutan

Uji penyelesai yang dipasang pada pautan aktif, kemudian pertanyaan langsung kepada penyelesai itu, kemudian pertanyaan yang sama dari sisi jauh, dan akhirnya aplikasi yang menggunakan nama yang sama. Setiap langkah mengasingkan satu sempadan, jadi kegagalan memberitahu anda di mana perlu melihat dan bukannya memulakan siasatan semula. Jawapan yang berfungsi sementara aplikasi gagal menunjukkan kepercayaan sijil atau dasar API dan bukannya DNS. Kerosakan itu nyata, dan tiada perubahan penyelesai akan membaikinya.

Catat langkah mana yang gagal. Satu baris itu ialah apa yang diperlukan orang seterusnya, dan merekodkannya mengambil masa sepuluh saat.

Simpan rantaian di tempat orang seterusnya boleh menemuinya

Rekod penyelesai yang ditolak, peraturan pemajuan, sumber pertanyaan yang dibenarkan dan titik akhir yang menjawab di satu tempat. Apabila nama peribadi gagal lagi, rekod menunjukkan sama ada tunnel bergerak, alamat penyelesai berubah, atau peraturan disempitkan. Tanpanya setiap insiden bermula dari sifar dan berakhir dengan tiga tekaan yang sama.

Kekalkan rekod cukup pendek untuk kekal tepat: empat baris, tarikh, dan nama pemilik setiap bahagian. Rekod lapuk lebih buruk daripada tiada, kerana ia kelihatan berwibawa sedangkan ia salah.