Rekursjon er ikke tilgjengelig: en DNS-policy, ikke en ødelagt tunnel

Det interne navnet løses opp, og den samme serveren svarer på et eksternt navn med en avvisning om rekursjon. Den kombinasjonen er ikke en motsetning. Å publisere egne soner og å løse opp hele internett er to separate tjenester en server kan tilby, og den kan gjøre det første uten det andre. Behandle avvisningen som en policyerklæring, og sjekk deretter om policyen passer med designet.

En avvisning og en tidsavbrudd er forskjellige svar

Noter navnet, spørringstypen, serveren som svarer, statusen og postene som kom tilbake. En rekursjonsadvarsel ugyldiggjør ikke automatisk et autoritativt svar som kom med den. Skriv ned statusen før du tolker den. En status som rekonstrueres fra hukommelsen en time senere, er et annet faktum.

DNS-headeren bærer en forespørsel om rekursjon og en indikasjon på om serveren tilbyr den, og protokollspesifikasjonen holder disse flaggene atskilt fra svardataene. Derfor kan et svar være nyttig og likevel bære en klage. En tidsavbrudd, et negativt svar og en avvisning er tre forskjellige resultater. Hvert av dem peker på et annet lag, og bare avvisningen er serveren som forteller deg om policy.

Les statuskoden først, og avgjør deretter om advarselen betyr noe for denne spørringen. Et autoritativt svar som navngir sonen, er brukbart selv når rekursjonsbiten avvises. En avvisning uten svar er et policyresultat, ikke en ødelagt pakkevei.

Hva resolveryen registrerte som kilden din

Klienten kan komme fra en adressepool utenfor serverens tillatte rekursive områder, eller en oversettelse kan få den til å se ut som en gateway. Klientens egen adapteradresse er ikke bevis for hva resolveryen mottok. Spør serverens administrator om den observerte kilden i stedet for å utlede den fra din side av veien. De to adressene kan avvike ved hvert hopp som oversetter.

Spør etter det samme navnet fra klienten og fra en vert som serveren allerede stoler på. Forskjellen mellom de to svarene er kildebetingelsen, og den er nyttigere enn hvert av svarene alene.

dig +short host.corp.example
dig +short example.com

Hvis utrullingen vil ha rekursjon for VPN-klienter, autoriserer administratoren det riktige kildeområdet gjennom serverens egne kontroller. Å åpne rekursjon for alle nettverk for at én test skal gå gjennom, er en mye større endring enn den som testes. Skriv det autoriserte området ved siden av regelen, fordi neste gjennomgang vil spørre hvilke kilder policyen skulle betjene. Et kildeområde uten eier er måten en midlertidig test blir permanent.

Delt DNS er et design, ikke en feil

Noen utrullinger sender bare arbeidsdomener til den private resolveryen og alt annet til en annen godkjent resolvery. Det er et design for spørringsruting, og det er ikke bevis for at den private serveren trenger en løsere policy. Under det designet er et eksternt navn som feiler gjennom den private resolveryen, det tiltenkte resultatet og ikke en feil. Avvisningen er designet som virker, ikke et symptom som skal dempes.

En offentlig resolvery kan gjenopprette surfing mens den bryter interne navn eller sender private spørringer dit de ikke hører hjemme. Skriv ned den tiltenkte oppførselen før du endrer noen resolveryadresse.

Bekreft policyen med to spørringer

Etter den tiltenkte korreksjonen, spør etter et tillatt privat navn og et eksternt navn fra den faktiske klienten. Det som kommer tilbake, bør være det policyen lover, ikke bare en stillere diagnostikk. Noter serveren som svarer ved hvert svar, og sammenlign deretter paret med policyen. Sammenligningen er testen, og et enkelt vellykket oppslag er det ikke.

resolvectl query host.corp.example
resolvectl query example.com

Hvis det private navnet virker og det offentlige navnet avvises, gjør policyen det den sier. Hvis det private navnet også feiler, er problemet sonen, ruten eller kildeautorisasjonen, og rekursjon er en avledning. Begge utfallene er nyttige, og hvert av dem utelukker halvparten av de gjenværende hypotesene.

Les avvisningen som bevis

En avvisning er et svar. Det betyr at serveren mottok spørringen og nektet å utføre det forespurte arbeidet, noe som er forskjellig fra en pakke som aldri kom. Den forskjellen er hele diagnosen. Logg den som et svar, ikke som en tilkoblingsfeil.

Den forskjellen forteller deg hvor du skal se: serverens logger, tilgangspolicyen og kilden den registrerte. En brannmur-endring kan ikke rette en policyavvisning, og en policyendring kan ikke rette en manglende rute. Hold de to hypotesene atskilt til en av dem har bevis.

Skriv utfallet og policyens eier inn i saken, slik at neste person starter fra beslutningen og ikke fra advarselen. Navngi det autoriserte kildeområdet og de to navnene du testet. En sak med disse tre fakta kan kjøres på nytt; en som sier "rekursjon er ødelagt", kan ikke.