DNS VPN salah? Satu pelayan berwibawa mungkin sudah lapuk

Sambung VPN dan satu nama hos diselesaikan ke alamat semalam, atau kepada tiada apa-apa. Putuskan sambungan dan ia berfungsi semula. Refleks ialah menyalahkan penyelesai yang dipaksa oleh terowong, tetapi punca yang lebih biasa ialah pelayan nama yang diterbitkan yang berhenti menerima kemas kini zon. Laluan baharu hanya sampai ke pihak berwibawa yang berbeza daripada yang menjadi asal jawapan cache anda.

Gejala berubah mengikut penyelesai

Penyelesai rekursif memulangkan apa yang diberitahu oleh pihak berwibawa, kemudian menyimpan jawapan itu sepanjang TTL. Jika terowong memaksa penyelesai lain, atau mengubah laluan supaya yang lama tidak lagi boleh dicapai, klien bertanya kepada pihak berwibawa lain dan mendapat jawapan berbeza. Domain tidak berubah pada saat itu; pandangan anda terhadapnya yang berubah.

Itulah sebabnya nama yang sama boleh berfungsi di satu pejabat dan gagal dari hotel, dan sebabnya membersihkan cache tempatan hanya kadang-kadang membantu. Membersihkan cache menghantar soalan itu semula kepada pihak berwibawa yang sama.

Ujian yang membezakan ialah pertanyaan langsung kepada setiap pelayan yang diterbitkan.

Tanya setiap pihak berwibawa secara langsung

Mulakan daripada delegasi dan bukan daripada senarai yang anda ingat. Tanya induk tentang set NS, kemudian tanya setiap nama dalam set itu untuk rekod yang anda perlukan. Dua pertanyaan tentang nama yang sama pada pihak berwibawa berbeza memberitahu anda serta-merta sama ada zon itu konsisten.

dig +short NS example.com
dig @ns1.dns.example app.example.com A
dig @ns2.dns.example app.example.com A

Lakukan perkara yang sama untuk rekod NS di puncak zon, kerana delegasi induk dan set NS zon itu sendiri boleh bercanggah selepas migrasi. Nombor siri pada SOA ialah perkara seterusnya untuk dibandingkan, dan pelayan sekunder yang jauh ketinggalan ialah masalah pemindahan, bukan masalah jawapan.

Jalankan pertanyaan itu dari rangkaian yang gagal, bukan hanya dari meja anda.

Asingkan pandangan yang dimaksudkan daripada yang rosak

Sesetengah domain sengaja menjawab secara berbeza mengikut wilayah atau kumpulan penyelesai, dan konfigurasi ufuk terbelah adalah normal dalam rangkaian perusahaan.

Persoalannya ialah sama ada perbezaan itu didokumenkan dan stabil. Pandangan yang tidak dimaksudkan kelihatan berbeza: satu pihak berwibawa mempunyai rekod yang tidak pernah diterima oleh yang lain, atau tidak mempunyai satu yang dikongsi oleh semua. Panduan pemilihan dan penggelaran RFC 2182 menganggap ketersediaan berwibawa sebagai tanggungjawab bersama, dan itulah kerangka yang betul di sini. Lebihan hanya wujud jika setiap pelayan yang diterbitkan boleh menjawab dengan data yang dimaksudkan, bukan sekadar menerima sambungan pada port 53.

Pelayan yang menjawab SERVFAIL lebih mudah didiagnosis daripada yang menjawab dengan yakin dan salah.

Migrasi mendedahkan apa yang disembunyikan oleh cache

Semasa pertukaran pembekal, dua lokasi berwibawa berubah: delegasi induk dan rekod NS zon itu sendiri. Kedua-duanya mesti dikemas kini, dan kedua-duanya di-cache sepanjang TTL masing-masing. Jika pelayan lama kekal hidup dan terus menyajikan zon sebelumnya, klien yang penyelesainya bertanya kepadanya akan terus menerima jawapan lama lama selepas peralihan kelihatan selesai.

Itulah tepat keadaan yang disembunyikan oleh cache yang berumur panjang. Stesen kerja yang berfungsi sepanjang minggu bercakap dengan penyelesai yang menyimpan jawapan segar daripada pihak berwibawa baharu, sementara yang lama terus mengagihkan data lapuk kepada semua yang lain.

Menukar penyelesai pada komputer riba membaiki komputer riba itu dan tiada yang lain.

Baiki zon, bukan penyelesai

Kenal pasti pelayan mana yang sepatutnya berwibawa untuk zon itu, betulkan zon terurus atau delegasi supaya setiap daripadanya menyajikan data yang dimaksudkan, dan kekalkan lebihan yang anda rancang. Memadam pelayan nama kerana satu jalan keluar VPN mendapat jawapan pelik mengurangkan ketersediaan dan membiarkan ketidakstabilan kekal di tempatnya.

Kemudian jalankan semula pertanyaan langsung dari kedua-dua rangkaian dan tunggu TTL rekod yang anda ubah tamat.

Sahkan jawapan itu stabil dari setiap pihak berwibawa, dan tulis pandangan yang dimaksudkan dalam dokumentasi zon supaya perbezaan seterusnya mudah dikelaskan.