DNS tal-VPN ħażin? Wieħed server awtoritattiv jista’ jkun qadim

Qabbad il-VPN u isem ta’ host wieħed jiġi riżolt għall-indirizz ta’ lbieraħ, jew għal xejn. Iddiżqabbad u jerġa’ jaħdem. Ir-rifless hu li nwaħħlu lir-riżolver li mbuttat it-tunnel, iżda l-kawża aktar komuni hija server tal-ismijiet ippubblikat li waqaf jirċievi aġġornamenti taż-żona. It-triq il-ġdida sempliċement laħqet awtorità oħra minn dik li minnha ġie l-answer tiegħek fil-cache.

Is-sintomu jinbidel mar-riżolver

Riżolver rikorsiv jirritorna dak li awtorità qaltlu, u mbagħad iżomm dak l-answer għat-TTL. Jekk it-tunnel jimbutta riżolver differenti, jew ibiddel it-triq b’tali mod li l-qadim ma jibqax jintlaħaq, il-klijent jistaqsi awtorità oħra u jieħu answer differenti. Id-dominju ma nbidilx f’dak il-mument; inbidlet il-viżjoni tiegħek dwaru.

Għalhekk l-istess isem jista’ jaħdem f’uffiċċju wieħed u jfalli minn lukanda, u għalhekk it-tindif ta’ cache lokali jgħin biss kultant. It-tindif tal-cache jibgħat il-mistoqsija lill-istess awtorità mill-ġdid.

It-test li jiddistingwi hu mistoqsija diretta lil kull server ippubblikat.

Staqsi lil kull awtorità direttament

Ibda mid-delegazzjoni u mhux minn lista li tiftakar. Staqsi lill-ġenitur għas-sett NS, imbagħad staqsi lil kull isem f’dak is-sett għar-record li għandek bżonn. Żewġ mistoqsijiet dwar l-istess isem f’awtoritajiet differenti jgħidulek minnufih jekk iż-żona hijiex konsistenti.

dig +short NS example.com
dig @ns1.dns.example app.example.com A
dig @ns2.dns.example app.example.com A

Agħmel l-istess għar-records NS fil-quċċata taż-żona, għax id-delegazzjoni tal-ġenitur u s-sett NS proprju taż-żona jistgħu jaqblu ħażin wara migrazzjoni. In-numri tas-serje fuq is-SOA huma l-ħaġa li jmiss li tqabbel, u sekondarju li baqa’ lura ħafna huwa problema ta’ trasferiment, mhux ta’ answer.

Mexxi dawk il-mistoqsijiet min-netwerk li jfalli, mhux biss mill-iskrivanija tiegħek.

Issepara l-veduti maħsuba minn dawk miksurin

Xi dominji jwieġbu apposta b’mod differenti skont ir-reġjun jew il-grupp tar-riżolvers, u l-konfigurazzjonijiet b’orizzont maqsum huma normali f’netwerks tal-intrapriża.

Il-mistoqsija hija jekk id-differenza hijiex dokumentata u stabbli. Veduta mhux maħsuba tidher differenti: awtorità waħda għandha record li oħrajn qatt ma rċevew, jew nieqes minnha dak li kollha jaqsmu. L-gwida tal-RFC 2182 għall-għażla u d-deploy tittratta d-disponibbiltà awtoritattiva bħala responsabbiltà kondiviża, u dan hu l-qafas tajjeb hawn. Ir-redundanza teżisti biss jekk kull server ippubblikat jista’ jwieġeb bid-data maħsuba, mhux biss jaċċetta konnessjoni fuq il-port 53.

Server li jwieġeb SERVFAIL huwa eħfef biex jiġi dijanjostikat minn wieħed li jwieġeb b’fiduċja u ħażin.

Migrazzjoni tikxef dak li cache ħba

Waqt it-tibdil tal-fornitur jinbidlu żewġ postijiet awtoritattivi: id-delegazzjoni tal-ġenitur u r-records NS proprju taż-żona. It-tnejn iridu jiġu aġġornati, u t-tnejn jiġu cache għat-TTL tagħhom. Jekk server qadim jibqa’ mixgħul u jibqa’ jaqdi ż-żona preċedenti, il-klijenti li r-riżolvers tagħhom jistaqsuh se jibqgħu jieħdu l-answer qadima ħafna wara li l-bidla dehret kompluta.

Dan hu eżattament l-istat li cache ta’ żmien twil jaħbi. Il-workstation li ħadmet il-ġimgħa kollha kienet tkellem riżolver li kellu answer friska mill-awtorità l-ġdida, filwaqt li l-qadim baqa’ jqassam data qadima lil kulħadd.

It-tibdil tar-riżolver fuq laptop isewwi dak il-laptop u xejn aktar.

Sewwi ż-żona, mhux ir-riżolver

Identifika liema servers għandhom ikunu awtoritattivi għaż-żona, ikkoreġi ż-żona mmaniġġjata jew id-delegazzjoni biex kull wieħed minnhom jaqdi d-data maħsuba, u żomm ir-redundanza li ppjanajt. It-tħassir ta’ server tal-ismijiet għax ħruġ wieħed tal-VPN ħa answer stramba jnaqqas id-disponibbiltà u jħalli l-inkonsistenza f’postha.

Imbagħad erġa’ mexxi l-mistoqsijiet diretti miż-żewġ netwerks u stenna li jiskadi t-TTL tar-record li biddilt.

Ikkonferma li l-answer hija stabbli minn kull awtorità, u ikteb il-veduta maħsuba fid-dokumentazzjoni taż-żona biex id-differenza li jmiss tkun faċli tikklassifika.