VPN माथि BIND: सशर्त फर्वार्ड कि स्टब जोन?
VPN मार्फत एउटा निजी जोन हल गर्ने तीन तरिका र कुन कहिले उपयुक्त: फर्वार्ड, स्टब वा सेकेन्डरी, साथै निर्णय गर्ने स्रोत-ठेगाना जाँच।
तपाईंको अफिस रिजोल्भर एउटा कर्पोरेट नेमस्पेसबाहेक सबैलाई जवाफ दिन्छ, र त्यो जान्ने कर्पोरेट DNS सर्भर VPN पछाडि छ। BIND ले त्यो एउटै जोन अपस्ट्रिमलाई तीन फरक तरिकाले दिन सक्छ, र ती फरक तरिकाले असफल हुन्छन्। सशर्त फर्वार्ड सबैभन्दा सानो प्रतिबद्धता हो, स्टब जोनले डेलिगेसन डेटा राख्छ, र सेकेन्डरीले पूरा प्रतिलिपि राख्छ। अपस्ट्रिम के अनुमति दिन्छ र तपाईंको रिजोल्भरले के राखोस् भन्ने चाहनुहुन्छ भन्ने आधारमा छान्नुहोस्, पहिले कुन स्निपेट भेट्यो भन्ने आधारमा होइन।
एउटा नेमस्पेसका लागि तीन व्यवस्था
| Type | What your resolver keeps | Upstream must | Fails when |
|---|---|---|---|
forward | a forwarder list | answer queries from your source address | upstream is down and forward only is set |
stub | the zone's NS records and addresses | answer NS queries for the zone | delegation data goes stale after an NS change |
secondary | a full copy of the zone | permit AXFR or IXFR from your source | transfer is blocked by ACL or firewall |
सशर्त फर्वार्ड: सबैभन्दा सानो प्रतिबद्धता
अफिस रिजोल्भर 192.168.10.53 मा र कर्पोरेट सर्भर 10.40.0.53 मा छ, जो स्वीकृत टनेलबाट पुग्न सकिन्छ भनी मान्नुहोस्। घोषणा तीन लाइनको छ, र चाखलाग्दो forward only हो, किनकि यसले मार्ग होइन, असफलताको व्यवहार बदल्छ।
zone "corp.example" {
type forward;
forward only;
forwarders { 10.40.0.53; };
};forward only सहित, नपुग्ने अपस्ट्रिमले यो जोनका लागि पुनरावृत्त हलमा फर्कने सट्टा SERVFAIL दिन्छ। निजी नेमस्पेसका लागि सामान्यतया यही चाहिन्छ, किनकि फर्कने क्रममा निजी नामहरू सार्वजनिक रिजोल्भरमा जान्थे र इन्टरनेटबाट बेकामे जवाफ आउँथ्यो। BIND सन्दर्भ दुवै नीतिको दस्तावेजीकरण गर्छ, र भिन्नता स्निपेटले संकेत गरेभन्दा बढी महत्त्वपूर्ण छ। एउटै नामका लागि पहिले नै रहेको जोन बदल्नुको सट्टा जोनलाई विद्यमान कन्फिगरेसनमा मिलाउनुहोस्।
स्टब वा सेकेन्डरी: जब डेलिगेसन महत्त्वपूर्ण हुन्छ
स्टब जोनले कर्पोरेट सर्भरसँग जोनका NS रेकर्ड सोध्छ र त्यसपछि अधिकारप्राप्त सर्भरहरूलाई सिधै सोध्छ। अपस्ट्रिम क्षेत्र ठूलो वा विभाजित हुँदा र सबै कुरा एउटै ठेगानामा नटाँसी तपाईंको रिजोल्भरले डेलिगेसन पछ्याओस् भन्ने चाहँदा यो छान्नुहोस्। मूल्य भनेको NS डेटा अद्यावधिक रहनु र सूचीबद्ध हरेक नेमसर्भर तपाईंको रिजोल्भरको स्रोत-ठेगानाबाट पुग्न सकिने हुनुमा निर्भरता हो।
zone "corp.example" {
type stub;
masters { 10.40.0.53; };
};
zone "corp.example" {
type secondary;
primaries { 10.40.0.53; };
file "corp.example.db";
};सेकेन्डरीले स्थानीय डेटाबाट जवाफ दिन्छ र अपस्ट्रिम अवरोध सहन्छ, र त्यही कारण ट्रान्सफर निर्भरता स्वीकार गर्नुपर्छ। यसको अर्थ तपाईंको रिजोल्भरले अब आफ्नो नभएको जोनको प्रतिलिपि राख्छ, त्यसैले फाइल मार्ग, प्राइमरीमा ट्रान्सफर ACL र रिफ्रेस टाइमर सबै तपाईंको सञ्चालन सतहको भाग बन्छन्।
उनीहरूबीच निर्णय गर्ने जाँच
BIND ले आफ्नै बाहिर जाने क्वेरी बनाउँछ, त्यसैले प्रश्न ल्यापटप 10.40.0.53 सम्म पुग्न सक्छ कि भन्ने होइन, रिजोल्भर होस्ट कर्पोरेट सर्भरले देख्ने स्रोत-ठेगानाबाट पुग्न सक्छ कि भन्ने हो। पहिले कर्नेललाई सोध्नुहोस्, त्यसपछि सर्भरलाई, त्यही क्रममा।
ip route get 10.40.0.53
named-checkconf
rndc reload corp.example
dig @10.40.0.53 corp.example NS +norecurse
dig @192.168.10.53 portal.corp.exampleमार्गमा UDP र TCP अनुमति दिनुहोस्: काटिएको जवाफले TCP लाई बाध्य गर्छ, र UDP मात्र अनुमति दिने नीतिले प्याकेट हानि जस्तो देखिने बीच-बीचको असफलता उत्पन्न गर्छ। कर्पोरेट पक्षलाई तपाईंको रिजोल्भरको स्रोतका लागि स्वीकृति नियम र त्यहाँ फर्कने मार्ग दुवै चाहिन्छ; त्यो स्रोत रिजोल्भरको रुट गरिएको ठेगाना वा स्पष्ट रूपमा अनुवादित ठेगाना हुन सक्छ, र यो विरलै क्लाइन्ट पूलको ठेगाना हुन्छ। NS क्वेरी असफल भएमा फर्वार्ड जोनले जस्तै व्यवहार गरे पनि स्टब जोनले काम गर्न सक्दैन।
टनेल होइन, जवाफ प्रमाणित गर्नुहोस्
तपाईंले कहिल्यै नमागेको नामका लागि अफिस रिजोल्भरमार्फत क्वेरी गर्नुहोस्, र जवाफको authority भाग हेरेर त्यो कर्पोरेट जोनबाट आएको हो कि होइन जाँच्नुहोस्। क्यासमा रहेको जवाफले वर्तमान मार्गबारे केही प्रमाणित गर्दैन, र अपस्ट्रिममा सिधै गरिएको सफल क्वेरीले तपाईंको रिजोल्भरले त्यो जोन छान्यो भनी प्रमाणित गर्दैन। त्यही क्वेरी TCP मा दोहोर्याएर मार्गले कटाइ सहन्छ भनी पुष्टि गर्नुहोस्।
क्लाइन्टहरूलाई अफिस रिजोल्भरतर्फ राख्नुहोस्, र DNSSEC प्रमाणीकरण खुला राख्नुहोस्। स्वतन्त्र इन्क्रिप्टेड रिजोल्भरसँग कन्फिगर गरिएको ब्राउजरले यो व्यवस्था पूर्ण रूपमा बाइपास गर्छ, र अप्रत्याशित जवाफ सही देखियोस् भनेर प्रमाणीकरण बन्द गर्नु देखिने असफलतालाई नदेखिने असफलतासँग साट्नु हो।
तीनमध्ये कुन प्रकार छान्नुभयो र किन, लेख्नुहोस्। जोन असफल भएको देख्ने अर्को व्यक्तिलाई कन्फिग फाइलभन्दा त्यो वाक्य बढी चाहिन्छ।