Għaliex Żona Route 53 Privata Ttrodd NXDOMAIN għal Ismijiet Pubbliċi

Iż-żoni privati ta' Route 53 jissostitwixxu t-tweġiba għal isem minflok ma jingħaqdu mar-rekord pubbliku, u dan jissorprendi n-nies fl-agħar mument. Żid rekord intern wieħed għal api.example.net f'żona privata għal example.net, orbtu ma' VPC, u kull isem ieħor taħt dak il-ġenitur issa jingħata tweġiba biss miż-żona privata. Klijent li lbieraħ seta' jasal għal www.example.net illum jirċievi tweġiba negattiva. Il-mixja hawn taħt tibda minn dik il-mistoqsija li falliet u tmur 'il barra lejn iż-żona li wieġbitha.

Ibda mill-mistoqsija, mhux mill-console

Irriproduċi l-falliment fuq il-klijent li rrappurtah, u nnota l-isem eżatt u t-tip ta' rekord. Isem li jonqos għal A xorta jista' jiġi riżolt għal AAAA, u browser li jerġa' jipprova isem fil-cache jaħbi liema minnhom inkiser. Mexxi l-mistoqsija darbtejn: darba permezz tar-resolver li l-klijent tassew juża, u darba b'traċċar li jevitah.

dig +short api.example.net
dig www.example.net +noall +comments +authority
resolvectl query www.example.net

It-tieni kmand huwa dak importanti. Il-linja tal-istat u s-sezzjoni tal-awtorità tiegħu jsemmu ż-żona li pproduċiet it-tweġiba, sabiex tkun tista' tiddistingwi tweġiba negattiva miż-żona privata minn timeout, port imblukkat jew resolver li qatt ma rċieva l-mistoqsija. resolvectl juri liema upstream ġie mistoqsi, u spiss mhuwiex ir-resolver li assumajt li bagħat il-VPN.

Jekk il-mistoqsija traċċata trodd l-indirizz pubbliku u dik normali le, ir-rekord pubbliku huwa sħiħ u l-vista privata qed twieġeb. Dak it-tqabbil wieħed jiddeċiedi liema nofs tal-bqija ta' din il-paġna japplika għalik.

Aqra liema żona wieġbet

Tweġiba li ġġorr NXDOMAIN bl-SOA taż-żona privata fis-sezzjoni tal-awtorità hija tweġiba definittiva minn dik iż-żona, mhux fittxija li falliet. Route 53 Resolver għażel iż-żona ospitata privata għax l-isem qabel, imbagħad ma sabx rekord tat-tip mitlub, u l-imġieba dokumentata hija li trodd it-tweġiba negattiva minflok tgħaddi l-mistoqsija lid-DNS pubbliku.

L-għażla ssegwi l-ispeċifiċità. Meta jikkoinċidu diversi spazji tal-ismijiet privati, tirbaħ iż-żona li taqbel bl-aktar mod speċifiku, u l-ġenitur privat usa' ma jieħux it-tieni ċans għal isem li ż-żona tifel magħżula ma għandhiex. Ir-regoli tal-ibgħat iżidu saff ieħor, għax regola tar-Resolver speċifika għad-dominju tista' tegħleb l-assoċjazzjoni taż-żona ospitata privata. Elenka l-assoċjazzjonijiet u r-regoli qabel ma tikkonkludi li żona hija vojta.

aws route53 list-hosted-zones-by-name --dns-name example.net.
aws route53 list-resource-record-sets --hosted-zone-id Z0EXAMPLEID --query "ResourceRecordSets[?Type=='A'].[Name,ResourceRecords[0].Value]"

Iż-żewġ kmandi jeħtieġu kredenzjali għall-kont li jippossjedi ż-żona, u t-tieni jeħtieġ l-ID taż-żona mill-ewwel. Issostitwixxi bl-ID tiegħek; il-plaskholder hawn fuq huwa apposta mhux reali.

Għaliex tirbaħ iż-żona privata

L-assoċjazzjoni hija dik li tagħmel iż-żona viżibbli għal VPC, u r-resolver f'dak il-VPC huwa dak li japplikaha. Żona privata li mhijiex assoċjata mal-VPC li minnha ġejja t-traffiku tal-klijent m'għandha l-ebda effett xejn, filwaqt li assoċjazzjoni mal-VPC żbaljata tipproduċi tweġiba privata għall-popolazzjoni żbaljata. Iċċekkja l-lista tal-assoċjazzjonijiet qabel ma teditja rekords, għax żona tista' tkun korretta u xorta inviżibbli.

Spazji tal-ismijiet li jikkoinċidu huma t-tieni sors ta' konfużjoni. Żona privata għal example.net u żona privata għal api.example.net it-tnejn jaqblu ma' mistoqsija API, u twieġeb l-aktar waħda speċifika. Dan huwa utli meta trid spazju tal-ismijiet intern dejjaq, u perikoluż meta ż-żona dejqa tonqos minn rekord li għandha dik usa'. Il-konsiderazzjonijiet dwar iż-żoni ospitati privati jinsabu fid-dokumentazzjoni ta' Route 53 u jiddeskrivu kemm l-imġieba tat-twaqqigħ kif ukoll il-preċedenza tar-regoli, u jistħoqqilhom qari qabel ma żżid it-tieni żona li tikkoinċidi.

Xejn minn dan ma jbiddel iż-żona pubblika. Ir-resolvers pubbliċi xorta jwieġbu b'mod korrett lir-rekords pubbliċi, u għalhekk il-falliment jidher bħala problema tal-klijent għal kulħadd barra mill-VPC.

Agħżel l-ispazju tal-ismijiet qabel ma żżid rekords

Jekk familja ġdida ta' servizzi interni biss teħtieġ ismijiet privati, agħtiha sottodominju privat iddedikat u ħalli l-ġenitur pubbliku kwiet. Isem bħal internal.example.net ma jistax jidħen għal www.example.net, u r-raġġ ta' impatt ta' rekord nieqes huwa limitat għall-ismijiet li ħloqt għal dak il-għan. L-ispiża hija li l-URL u ċ-ċertifikati eżistenti jistgħu ma jaqblux mal-isem il-ġdid.

Meta l-utenti pubbliċi u privati jridu jżommu l-istess isem tal-host, id-DNS b'vista maqsuma huwa d-disinn appoġġjat u jeħtieġ li żżomm ir-rekords f'kull vista b'mod espliċitu. Żona privata wiesgħa b'rekord wieħed fiha ma tippreservax id-dipendenzi pubbliċi taħt dik iż-żona; tissostitwihom b'żona li għandha rekord wieħed.

Iġbor lista tal-ismijiet li applikazzjoni tassew issejjaħ qabel ma tħejji popolazzjoni ta' klijenti għall-vista privata. L-hosts tal-login, l-hosts tal-assi statiċi, il-miri tar-ridirezzjoni u l-endpoints tal-API huma l-ewwel li jinqasmu, u normalment ikunu mxerrda fir-rekords ta' diversi timijiet.

Segwi t-triq tar-resolver, imbagħad ir-rotta

Laptop jara l-vista privata biss jekk il-mistoqsijiet tiegħu jaslu għar-resolver li għandu l-assoċjazzjoni. L-editjar ta' fajl hosts fuq is-server tal-VPN ma jippubblikax xejn lill-klijenti konnessi, u klijent konfigurat b'resolver pubbliku jkompli jirċievi tweġibiet pubbliċi sakemm it-tunnel ikun 'il fuq. Ikkonferma l-indirizz tar-resolver li rċieva l-klijent, imbagħad erġa' agħmel il-mistoqsija mill-klijent u mhux mis-server.

Ladarba l-isem jiġi riżolt, iċċekkja t-triq lejn l-indirizz imroddut bħala pass separat, pereżempju b'ip route get kontra l-indirizz li rrodd il-mistoqsija. Tweġiba privata korretta mingħajr rotta lejn l-indirizz hija problema ta' routing, u tweġiba dwar rekord nieqes hija problema tal-vista tad-DNS; jekk tittrattahom bħala problema waħda toħroġ tiswijiet li ma jżommux. Ħalli l-kontrolli tal-isem tal-host TLS u taċ-ċertifikat tas-servizz bla bidla, għax indirizz privat ibiddel fejn tmur il-konnessjoni u xejn dwar liema ċertifikat huwa validu.

Iffinalizza billi tikteb iż-żona, l-assoċjazzjoni, ir-resolver u l-ismijiet li vverifikajt fin-nota tal-bidla. Imbagħad il-persuna li jmiss li żżid rekord tkun taf liema spazju tal-ismijiet huwa awtorevoli għal dik il-popolazzjoni ta' klijenti.