VPN मा NXDOMAIN भन्नाले टनेल अवरुद्ध भयो भन्ने होइन

एउटा असफल लुकअपलाई टनेल भत्किएको प्रमाणका रूपमा पढ्न लोभलाग्दो हुन्छ, विशेषगरी जब नाम दस मिनेट अघि काम गरिरहेको थियो। उत्तरले अरू केही भन्छ। NXDOMAIN पूरा भएको DNS कारोबार हो जसमा रिजोल्भरले भनेको थियो कि सोधिएको नाम अवस्थित छैन; बिग्रिएको टनेलले सामान्यतया मौनता, समय सकिने वा गलत सर्भरतर्फ रिजोल्युसन प्रयास उत्पन्न गर्छ। wireshark नभएको तर्कको संस्करण एक क्वेरी, एक उत्तरदाता र एक उत्तर कोड हो, र कुनै पनि कन्फिगरेसन परिवर्तन अघि यो त्रिवट रेकर्ड गर्न योग्य छ।

उत्तरले वास्तवमा के स्थापित गर्छ

DNS ले क्लाइन्टहरूले प्रायः एउटै असफलतामा मिलाउने नतिजाहरू छुट्याउँछ। अवस्थित नभएको नामले NXDOMAIN कोडसहित नकारात्मक उत्तर दिन्छ, जबकि अवस्थित भए पनि मागिएको प्रकारको रेकर्ड नभएको नामले खाली उत्तर खण्डसहित सफल उत्तर दिन्छ। दुवै कुनै अनुप्रयोगलाई अनुपयोगी देखिन्छन्, र तीमध्ये एउटाले मात्र नाम गलत छ भन्ने अर्थ दिन्छ।

यो भिन्नताले मर्मत कहाँ हुनुपर्ने तय गर्छ। A रेकर्ड भएको होस्टमा AAAA रेकर्ड नहुनु होस्ट नहुनु होइन, र त्यसको पछि लाग्न प्रमाणपत्र पुनः जारी गर्ने वा टनेल पुनर्निर्माण गर्ने काम उपलब्ध एक मात्र सुराग बर्बाद गर्छ। यो भिन्नताले अर्को कदमको स्वरूप पनि तय गर्छ: नामकरणको समस्या जोनमा सुधारिन्छ, र प्रकारको समस्या सही रेकर्ड मागेर वा ठेगाना परिवार नै छैन भनी स्वीकारेर सुधारिन्छ।

भ्रम: निजी नाम नहुनु भनेको टनेल असफल हुनु

यो भ्रम टिकिरहन्छ किनभने ती दुई घटना प्रायः सँगै आउँछन्। क्लाइन्ट VPN मा जोडिन्छ, अपरेटिङ सिस्टमले पहिले नै विश्वास गरेको रिजोल्भर राख्छ, र अब आवश्यक आन्तरिक नाम निजी जोनबारे कहिल्यै नसुनेको सर्भरलाई सोधिन्छ। त्यो सर्भर इमानदार र नकारात्मक रूपमा जवाफ दिन्छ। टनेलले प्याकेट बोकिरहेको छ; उत्तर उत्तरदाताले सेवा नगर्ने नाम ठाउँबारे मात्र हो।

split-horizon व्यवस्थाले यसलाई नियमित बनाउँछ: एउटै जोन नाम सार्वजनिक र आन्तरिक रूपमा फरक सामग्रीसहित अवस्थित हुन्छ, र निजी रेकर्ड आन्तरिक रिजोल्भरलाई मात्र थाहा हुन्छ। त्यसैले अधिकारिक देखिने नकारात्मक उत्तर पाउनु कुन रिजोल्भरले जवाफ दियो भन्ने प्रमाण हो, इन्टरफेसको अवस्थाको प्रमाण होइन।

नतिजा दुई कन्फिगरेसन विवरणले तय गर्छ। टनेलले आन्तरिक रिजोल्भर धकेल्नुपर्छ वा छान्नुपर्छ, र क्लाइन्टले त्यो छनोट खोजिएको नाममा लागू गर्नुपर्छ। तपाईंले टाइप गरेको रेकर्डभन्दा अलिक फरक प्रत्यय नाम दिने प्रति-डोमेन नियमले क्वेरीलाई सार्वजनिक बाटोमा पठाउँछ, र उत्तर सही तर अनुपयोगी हुन्छ।

सही नामसहित सही रिजोल्भरलाई सोध्नुहोस्

निर्णय रेकर्ड गर्नु अघि उत्तरदाता रेकर्ड गर्नुहोस्। कुन सर्भरले जवाफ दियो देखाउन नसक्ने लुकअपले नीति समस्या र नाम ठाउँ समस्या छुट्याउन सक्दैन, र दुवैको सुधार असम्बन्धित छ।

resolvectl query vpn.internal.example
resolvectl status | grep -A3 'DNS Servers'
dig +search app.intranet.example A
dig @10.8.0.1 app.intranet.example A

पहिलो दुई लाइनले स्थानीय रिजोल्भरको निर्णय के थियो र कसलाई सोध्नेछ देखाउँछ। +search लुकअपले अनुप्रयोगले खोज प्रत्यय थप्दा गर्ने काम पुनरुत्पादन गर्छ, जुन प्रायः निदान उपकरणमा टाइप गरिएको होइन, वास्तविक क्वेरी हो। अन्तिम लाइनले क्लाइन्ट नीति छलेर आन्तरिक सर्भरलाई सिधै सोध्छ; यदि त्यो सफल भयो र साधारण लुकअप असफल भयो भने जोन ठीक छ र क्वेरीको राउटिङ ठीक छैन।

नकारात्मक क्यासिङले सुधारपछिको ढिलाइ व्याख्या गर्छ

नकारात्मक उत्तरहरू डिजाइनअनुसार क्यास हुन्छन्, र RFC 2308 ले नकारात्मक क्यासको आयु जोनको अधिकार रेकर्डबाट कसरी निकालिन्छ वर्णन गर्छ। त्यसैले रेकर्ड वा रिजोल्भर नियम सुधार गर्दा क्लाइन्टमा तत्काल परिवर्तनको ग्यारेन्टी हुँदैन, र क्यास गरिएको उत्तर फर्काइरहने लुकअप पुनः प्रयास गर्दा नयाँ केही प्रमाणित हुँदैन। केवल फरक उत्तरदाता, फरक नाम वा खाली गरिएको क्यासले ताजा प्रमाण दिन्छ।

स्थानीय क्यास खाली गर्नुहोस्, त्यसपछि त्यही उत्तरदातासामु त्यही क्वेरी दोहोर्याउनुहोस्। स्थानीय रिजोल्भर सेवा प्रयोग गर्ने प्रणालीमा त्यो एउटा आदेश हो; अरूमा त्यो सेवा पुनःसुरु वा प्लेटफर्म उपयोगिता हो, र ठोस उपकरणभन्दा पछि समान परीक्षण दोहोर्याउनु बढी महत्त्वपूर्ण छ।

नामलाई बाटोबाट अलग गर्नुहोस्

नाम अपेक्षित निजी ठेगानामा रिजोल्भ भएपछि DNS विषयका रूपमा सकिन्छ र अर्को प्रश्न अनुप्रयोगको बाटो बन्छ। लुकअपको जवाफ दिने तर जडान अस्वीकार गर्ने होस्टको अर्कै समस्या हुन्छ, र सही उत्तरपछि पनि रिजोल्भर समायोजन गरिरहनु भनेको घटनाले तीन असम्बन्धित परिवर्तन प्राप्त गर्ने बाटो हो। दुवै मिल्छन् भनी मान्नु अघि रिजोल्भ भएको ठेगानालाई सेवाले वास्तवमा सुन्ने ठेगानासँग तुलना गर्नुहोस्।

रेकर्ड राख्नुहोस्: क्वेरी, उत्तरदाता, कोड र रिजोल्भ भएको ठेगाना। त्यही रेकर्डले पछिको प्रतिवेदन जाँचयोग्य बनाउँछ, र त्यही निदान र ढिलो देखिएको टनेलबारेको कथाबीचको भिन्नता हो।