Rekursjon er ikkje tilgjengeleg: ein DNS-policy, ikkje ein øydelagd tunnel

Det interne namnet blir løyst opp, og den same serveren svarar på eit eksternt namn med ei avvising om rekursjon. Den kombinasjonen er ikkje ei motsetning. Å publisere eigne soner og å løyse opp heile internett er to separate tenester ein server kan tilby, og han kan gjere det første utan det andre. Handsame avvisinga som ei policyfråsegn, og sjekk deretter om policyen passar med designet.

Ei avvising og ein tidsavbrot er ulike svar

Noter namnet, spørjetypen, serveren som svarar, statusen og postane som kom tilbake. Ei rekursjonsåtvaring gjer ikkje automatisk eit autoritativt svar som kom med henne ugyldig. Skriv ned statusen før du tolkar han. Ein status som blir rekonstruert frå minnet ein time seinare, er eit anna faktum.

DNS-headeren ber ein førespurnad om rekursjon og ei indikasjon på om serveren tilbyr han, og protokollspesifikasjonen held desse flagga skilde frå svardataa. Difor kan eit svar vere nyttig og likevel bere ei klage. Eit tidsavbrot, eit negativt svar og ei avvising er tre ulike resultat. Kvart av dei peiker på eit anna lag, og berre avvisinga er serveren som fortel deg om policy.

Les statuskoden først, og avgjer deretter om åtvaringa betyr noko for denne spørjinga. Eit autoritativt svar som namngir sona, er brukbart sjølv når rekursjonsbiten blir avvist. Ei avvising utan svar er eit policyresultat, ikkje ein øydelagd pakkeveg.

Kva resolvaren registrerte som kjelda di

Klienten kan kome frå ein adressepool utanfor dei tillatne rekursive områda til serveren, eller ei omsetjing kan få han til å sjå ut som ein gateway. Klienten sin eigen adapteradresse er ikkje prov for kva resolvaren tok imot. Spør administratoren til serveren om den observerte kjelda i staden for å utleie henne frå di side av vegen. Dei to adressene kan skilje seg ved kvart hopp som omset.

Spør etter det same namnet frå klienten og frå ein vert som serveren allereie stolar på. Skilnaden mellom dei to svara er kjeldevilkåret, og han er nyttigare enn kvart av svara åleine.

dig +short host.corp.example
dig +short example.com

Viss utrullinga vil ha rekursjon for VPN-klientar, autoriserer administratoren det rette kjeldeområdet gjennom dei eigne kontrollane til serveren. Å opne rekursjon for alle nettverk for at éin test skal gå gjennom, er ei mykje større endring enn den som blir testa. Skriv det autoriserte området ved sida av regelen, fordi neste gjennomgang vil spørje kva kjelder policyen skulle tena. Eit kjeldeområde utan eigar er måten ein mellombels test blir permanent.

Delt DNS er eit design, ikkje ein feil

Nokre utrullingar sender berre arbeidsdomene til den private resolvaren og alt anna til ein annan godkjend resolvar. Det er eit design for spørjeruting, og det er ikkje prov for at den private serveren treng ein lausare policy. Under det designet er eit eksternt namn som feilar gjennom den private resolvaren, det tiltenkte resultatet og ikkje ein feil. Avvisinga er designet som verkar, ikkje eit symptom som skal dempast.

Ein offentleg resolvar kan gjenopprette surfing medan han bryt interne namn eller sender private spørjingar dit dei ikkje høyrer heime. Skriv ned den tiltenkte åtferda før du endrar nokon resolvaradresse.

Stadfest policyen med to spørjingar

Etter den tiltenkte korreksjonen, spør etter eit tillate privat namn og eit eksternt namn frå den faktiske klienten. Det som kjem tilbake, bør vere det policyen lovar, ikkje berre ein stillare diagnostikk. Noter serveren som svarar ved kvart svar, og samanlikn deretter paret med policyen. Samanlikninga er testen, og eitt vellykka oppslag er det ikkje.

resolvectl query host.corp.example
resolvectl query example.com

Viss det private namnet verkar og det offentlege namnet blir avvist, gjer policyen det han seier. Viss det private namnet òg feilar, er problemet sona, ruta eller kjeldeautorisasjonen, og rekursjon er ei avleiing. Begge utfalla er nyttige, og kvart av dei utelukkar halvparten av dei gjenverande hypotesane.

Les avvisinga som prov

Ei avvising er eit svar. Det betyr at serveren tok imot spørjinga og nekta å utføre det førespurde arbeidet, noko som er annleis enn ein pakke som aldri kom. Den skilnaden er heile diagnosen. Logg han som eit svar, ikkje som ein tilkoplingsfeil.

Den skilnaden fortel deg kvar du skal sjå: loggane til serveren, tilgangspolicyen og kjelda han registrerte. Ei brannmur-endring kan ikkje rette ei policyavvising, og ei policydendring kan ikkje rette ei manglande rute. Hald dei to hypotesane skilde til ein av dei har prov.

Skriv utfallet og eigaren av policyen inn i saka, slik at neste person startar frå avgjerda og ikkje frå åtvaringa. Namngi det autoriserte kjeldeområdet og dei to namna du testa. Ei sak med desse tre fakta kan køyrast på nytt; ei som seier "rekursjon er øydelagd", kan ikkje.