Id-DNS privat jaħdem fil-VPC imma mhux mill-VPN
Isem privat li jiġi riżolt fl-EC2 imma mhux mill-VPN huwa problema fit-triq tar-resolver. Aqra l-għamla tal-falliment qabel ma tibdel ir-rekord taż-żona.
Isem privat jiġi riżolt minn istanza EC2 imma mhux minn laptop imqabbad mill-VPN, u ż-żona tidher tajba fil-console. L-istint huwa li tibdel ir-rekord, li kważi qatt mhu l-problema. Ir-rekord qiegħed iwieġeb lil xi ħadd; sempliċement mhux qiegħed iwieġeb lil laptop tiegħek. Dak li jvarja bejn iż-żewġ sejjieħa huwa liema resolver jistaqsu, u jekk dak ir-resolver għandux triq appoġġjata lejn il-veduta DNS tal-VPC.
Nibda billi nipprova li r-rekord jeżisti, imbagħad inqatta' l-bqija tal-ħin fit-triq tal-mistoqsija. Dawn huma sistemi separati u jonqsu b'mod differenti.
Aqra l-għamla tal-falliment qabel ma tbiddel xejn
Tliet eżiti jfissru tliet affarijiet differenti, u mistoqsa waħda tiddistingwihom: mexxi dig għall-isem kontra r-resolver li l-klijent qiegħed effettivament juża.
| What you see | What it usually means | First thing to check |
|---|---|---|
| SERVFAIL, or a timeout after several seconds | No path to the resolver, or the resolver cannot reach AWS | Route to the endpoint and the security policy on port 53 |
| NXDOMAIN from a resolver that did answer | The resolver replied, but the zone is not in its view | Zone association or the forwarding rule for that namespace |
| A public address for an internal name | Split DNS is not in effect for this client | Which resolver the client is configured to use |
Timeout hija dikjarazzjoni dwar in-netwerk. NXDOMAIN hija dikjarazzjoni dwar il-veduta DNS. Tweġiba pubblika hija dikjarazzjoni dwar il-politika. Jekk tibdel rekord taż-żona waqt li hemm timeout, tarmi l-unika prova utli tal-każ.
Għaliex l-indirizz plus tnejn tal-VPC mhuwiex resolver remot
L-indirizz CIDR plus tnejn huwa servizz lokali għar-riżorsi ġewwa l-VPC. AWS tiddokumenta li tibgħat mistoqsijiet minn netwerks lokali, jew mis-servers DNS ta' VPC ieħor, direttament lejn dak l-indirizz mhuwiex appoġġjat u jista' jagħti riżultati instabbli.
Dan ma jfissirx li esperiment qatt ma jidher li jaħdem. Ifisser li l-imġiba mhija kontrakt li tista' tpoġġi fi skript ta' helpdesk. Id-direzzjoni appoġġjata hija endpoint Resolver deħlin: par indirizzi ġewwa l-VPC tiegħek, li jintlaħaq min-netwerk li tikkontrolla, li jaċċetta mistoqsijiet li jaslu minn barra l-AWS.
Ibni t-triq fl-ordni li fiha tonqos b'mod nadif
Għandhom jeżistu tliet qabżiet, u kull waħda għandha l-mod tagħha kif tonqos.
VPN client -> approved DNS forwarder
forwarder -> forwarding rule for internal.example
forwarding rule -> Resolver inbound endpoint addressesIl-forwarder jeħtieġ rotta lejn l-indirizzi tal-endpoint mill-VPN, u t-triq lura trid taħdem ukoll. Għal DNS konvenzjonali fuq il-port 53 l-endpoint iwieġeb fuq UDP u TCP, għalhekk iż-żewġ protokolli jridu jkunu permessi u t-tnejn iridu jgħaddu minn kwalunkwe spezzjoni b'qagħda fin-nofs.
Imbagħad iċċekkja l-veduta DNS separatament. Żona ospitata privata tidher biss għall-VPCs li magħhom hija assoċjata, jew permezz ta' ftehim ta' qsim deċiż. Endpoint li jintlaħaq ma jagħmilx wahdu kull żona privata riżolvibbli fil-kuntest tar-riżoluzzjoni tiegħu.
Endpoint ħiereġ iservi d-direzzjoni opposta u mhux se jwieġeb mistoqsija li tiġi mil-laptop tiegħek.
Ivverifika miż-żewġ truf
Staqsi mill-klijent kontra l-forwarder, imbagħad mill-forwarder kontra l-endpoint. Jekk il-klijent jonqos filwaqt li l-forwarder jirnexxi, id-distakka tinsab bejn dawk iż-żewġ.
Jekk jonqsu t-tnejn, ħares lejn il-politika ta' sigurtà fuq l-endpoint u lejn l-indirizz tas-sors li effettivament jara. Forwarder wara NAT jippreżenta l-indirizz NAT minflok l-indirizz VPN tal-laptop, u dik id-differenza waħedha biżżejjed biex tarmi l-mistoqsija. Jekk it-tnejn jirnexxu imma l-applikazzjoni xorta tonqos, l-applikazzjoni tista' tkun qiegħda tuża resolver differenti minn dak li ttestjajt.
Żomm l-ispazji tal-ismijiet pubbliċi u privati separati apposta. Split DNS hija politika li tikkonfigura, mhux effett sekondarju ta' mistoqsa waħda li tirritorna data b'kumbinazzjoni.
X'ma kontx nagħmel
Ma kontx inżid regola NAT li għamlet mistoqsa waħda taħdem u nsejħilha disinn.
Ma kontx indawwar kull klijent remot lejn l-indirizz plus tnejn għax test darba rritorna rekord. U ma kontx inwessa' l-politika ta' sigurtà tal-endpoint għall-pool VPN kollu meta forwarder wieħed biss jeħtieġ aċċess. Jekk l-organizzazzjoni diġà għandha forwarder approvat ġewwa l-VPC, aqra dak id-disinn l-ewwel, għax it-tieni endpoint li żżid huwa dak li ħadd ma jiddokumenta.