VPN ਉੱਤੇ BIND: ਸ਼ਰਤੀ ਫਾਰਵਰਡ ਜਾਂ ਸਟਬ ਜ਼ੋਨ?
VPN ਰਾਹੀਂ ਇੱਕ ਪ੍ਰਾਈਵੇਟ ਜ਼ੋਨ ਹੱਲ ਕਰਨ ਦੇ ਤਿੰਨ ਤਰੀਕੇ ਅਤੇ ਹਰ ਇੱਕ ਕਦੋਂ ਢੁਕਵਾਂ: ਫਾਰਵਰਡ, ਸਟਬ ਜਾਂ ਸੈਕੰਡਰੀ, ਨਾਲ ਹੀ ਸਰੋਤ-ਪਤੇ ਦੀ ਜਾਂਚ ਜੋ ਫੈਸਲਾ ਕਰਦੀ ਹੈ।
ਤੁਹਾਡਾ ਦਫ਼ਤਰ ਰਿਜ਼ੋਲਵਰ ਇੱਕ ਕਾਰਪੋਰੇਟ ਨਾਮਸਪੇਸ ਨੂੰ ਛੱਡ ਕੇ ਸਭ ਦਾ ਜਵਾਬ ਦਿੰਦਾ ਹੈ, ਅਤੇ ਉਸ ਨੂੰ ਜਾਣਨ ਵਾਲਾ ਕਾਰਪੋਰੇਟ DNS ਸਰਵਰ VPN ਪਿੱਛੇ ਹੈ। BIND ਉਸ ਇੱਕ ਜ਼ੋਨ ਨੂੰ ਅਪਸਟ੍ਰੀਮ ਨੂੰ ਤਿੰਨ ਵੱਖਰੇ ਤਰੀਕਿਆਂ ਨਾਲ ਦੇ ਸਕਦਾ ਹੈ, ਅਤੇ ਉਹ ਵੱਖਰੇ ਤਰੀਕੇ ਨਾਲ ਫੇਲ੍ਹ ਹੁੰਦੇ ਹਨ। ਸ਼ਰਤੀ ਫਾਰਵਰਡ ਸਭ ਤੋਂ ਛੋਟੀ ਪ੍ਰਤੀਬੱਧਤਾ ਹੈ, ਸਟਬ ਜ਼ੋਨ ਡੈਲੀਗੇਸ਼ਨ ਡੇਟਾ ਰੱਖਦਾ ਹੈ, ਅਤੇ ਸੈਕੰਡਰੀ ਪੂਰੀ ਨਕਲ ਰੱਖਦਾ ਹੈ। ਅਪਸਟ੍ਰੀਮ ਕੀ ਮਨਜ਼ੂਰ ਕਰੇਗਾ ਅਤੇ ਤੁਹਾਡਾ ਰਿਜ਼ੋਲਵਰ ਕੀ ਰੱਖੇ, ਇਸ ਦੇ ਆਧਾਰ 'ਤੇ ਚੁਣੋ, ਇਸ ਆਧਾਰ 'ਤੇ ਨਹੀਂ ਕਿ ਤੁਹਾਨੂੰ ਪਹਿਲਾਂ ਕਿਹੜਾ ਸਨਿੱਪਟ ਮਿਲਿਆ।
ਇੱਕ ਨਾਮਸਪੇਸ ਲਈ ਤਿੰਨ ਪ੍ਰਬੰਧ
| Type | What your resolver keeps | Upstream must | Fails when |
|---|---|---|---|
forward | a forwarder list | answer queries from your source address | upstream is down and forward only is set |
stub | the zone's NS records and addresses | answer NS queries for the zone | delegation data goes stale after an NS change |
secondary | a full copy of the zone | permit AXFR or IXFR from your source | transfer is blocked by ACL or firewall |
ਸ਼ਰਤੀ ਫਾਰਵਰਡ: ਸਭ ਤੋਂ ਛੋਟੀ ਪ੍ਰਤੀਬੱਧਤਾ
ਮੰਨ ਲਵੋ ਦਫ਼ਤਰ ਰਿਜ਼ੋਲਵਰ 192.168.10.53 'ਤੇ ਹੈ ਅਤੇ ਕਾਰਪੋਰੇਟ ਸਰਵਰ 10.40.0.53 'ਤੇ, ਜੋ ਮਨਜ਼ੂਰਸ਼ੁਦਾ ਟਨਲ ਰਾਹੀਂ ਪਹੁੰਚਯੋਗ ਹੈ। ਘੋਸ਼ਣਾ ਤਿੰਨ ਲਾਈਨਾਂ ਦੀ ਹੈ, ਅਤੇ ਦਿਲਚਸਪ forward only ਹੈ, ਕਿਉਂਕਿ ਇਹ ਮਾਰਗ ਨਹੀਂ, ਫੇਲ੍ਹਤਾ ਦਾ ਵਿਵਹਾਰ ਬਦਲਦਾ ਹੈ।
zone "corp.example" {
type forward;
forward only;
forwarders { 10.40.0.53; };
};forward only ਨਾਲ, ਨਾ ਪਹੁੰਚਣ ਵਾਲਾ ਅਪਸਟ੍ਰੀਮ ਇਸ ਜ਼ੋਨ ਲਈ ਦੁਹਰਾਉ ਹੱਲ ਵੱਲ ਮੁੜਨ ਦੀ ਬਜਾਏ SERVFAIL ਦਿੰਦਾ ਹੈ। ਪ੍ਰਾਈਵੇਟ ਨਾਮਸਪੇਸ ਲਈ ਆਮ ਤੌਰ 'ਤੇ ਇਹੀ ਚਾਹੀਦਾ ਹੈ, ਕਿਉਂਕਿ ਮੁੜਨ ਨਾਲ ਪ੍ਰਾਈਵੇਟ ਨਾਮ ਜਨਤਕ ਰਿਜ਼ੋਲਵਰ ਕੋਲ ਜਾਂਦੇ ਅਤੇ ਇੰਟਰਨੈੱਟ ਤੋਂ ਬੇਕਾਰ ਜਵਾਬ ਆਉਂਦਾ। BIND ਸੰਦਰਭ ਦੋਵੇਂ ਨੀਤੀਆਂ ਦਾ ਦਸਤਾਵੇਜ਼ੀਕਰਨ ਕਰਦਾ ਹੈ, ਅਤੇ ਫ਼ਰਕ ਸਨਿੱਪਟ ਦੇ ਸੰਕੇਤ ਨਾਲੋਂ ਵੱਧ ਮਾਇਨੇ ਰੱਖਦਾ ਹੈ। ਉਸੇ ਨਾਮ ਲਈ ਪਹਿਲਾਂ ਹੀ ਮੌਜੂਦ ਜ਼ੋਨ ਬਦਲਣ ਦੀ ਬਜਾਏ ਜ਼ੋਨ ਨੂੰ ਮੌਜੂਦਾ ਕਨਫਿਗਰੇਸ਼ਨ ਵਿੱਚ ਮਿਲਾਓ।
ਸਟਬ ਜਾਂ ਸੈਕੰਡਰੀ: ਜਦੋਂ ਡੈਲੀਗੇਸ਼ਨ ਮਾਇਨੇ ਰੱਖਦਾ ਹੈ
ਸਟਬ ਜ਼ੋਨ ਕਾਰਪੋਰੇਟ ਸਰਵਰ ਤੋਂ ਜ਼ੋਨ ਦੇ NS ਰਿਕਾਰਡ ਮੰਗਦਾ ਹੈ ਅਤੇ ਫਿਰ ਅਧਿਕਾਰਤ ਸਰਵਰਾਂ ਨੂੰ ਸਿੱਧਾ ਪੁੱਛਦਾ ਹੈ। ਇਸ ਨੂੰ ਤਦ ਚੁਣੋ ਜਦੋਂ ਅਪਸਟ੍ਰੀਮ ਖੇਤਰ ਵੱਡਾ ਜਾਂ ਵੰਡਿਆ ਹੋਇਆ ਹੈ ਅਤੇ ਤੁਸੀਂ ਚਾਹੁੰਦੇ ਹੋ ਕਿ ਤੁਹਾਡਾ ਰਿਜ਼ੋਲਵਰ ਸਭ ਕੁਝ ਇੱਕ ਪਤੇ 'ਤੇ ਨੇਲ੍ਹਣ ਦੀ ਬਜਾਏ ਡੈਲੀਗੇਸ਼ਨ ਦੀ ਪੈਰਵੀ ਕਰੇ। ਕੀਮਤ ਇਹ ਹੈ ਕਿ NS ਡੇਟਾ ਤਾਜ਼ਾ ਰਹੇ ਅਤੇ ਸੂਚੀਬੱਧ ਹਰ ਨਾਮਸਰਵਰ ਤੁਹਾਡੇ ਰਿਜ਼ੋਲਵਰ ਦੇ ਸਰੋਤ-ਪਤੇ ਤੋਂ ਪਹੁੰਚਯੋਗ ਹੋਵੇ, ਇਸ 'ਤੇ ਨਿਰਭਰਤਾ।
zone "corp.example" {
type stub;
masters { 10.40.0.53; };
};
zone "corp.example" {
type secondary;
primaries { 10.40.0.53; };
file "corp.example.db";
};ਸੈਕੰਡਰੀ ਸਥਾਨਕ ਡੇਟਾ ਤੋਂ ਜਵਾਬ ਦਿੰਦਾ ਹੈ ਅਤੇ ਅਪਸਟ੍ਰੀਮ ਰੁਕਾਵਟ ਸਹਿੰਦਾ ਹੈ, ਅਤੇ ਇਸੇ ਕਰਕੇ ਟਰਾਂਸਫਰ ਨਿਰਭਰਤਾ ਸਵੀਕਾਰ ਕਰਨੀ ਚਾਹੀਦੀ ਹੈ। ਇਸ ਦਾ ਅਰਥ ਇਹ ਵੀ ਹੈ ਕਿ ਤੁਹਾਡਾ ਰਿਜ਼ੋਲਵਰ ਹੁਣ ਉਸ ਜ਼ੋਨ ਦੀ ਨਕਲ ਰੱਖਦਾ ਹੈ ਜੋ ਉਸ ਦਾ ਨਹੀਂ, ਇਸ ਲਈ ਫਾਈਲ ਪਾਥ, ਪ੍ਰਾਈਮਰੀ 'ਤੇ ਟਰਾਂਸਫਰ ACL ਅਤੇ ਰਿਫ੍ਰੈਸ਼ ਟਾਈਮਰ ਸਭ ਤੁਹਾਡੀ ਕਾਰਜ-ਸਤ੍ਹਾ ਦਾ ਹਿੱਸਾ ਬਣ ਜਾਂਦੇ ਹਨ।
ਉਨ੍ਹਾਂ ਵਿਚਕਾਰ ਫੈਸਲਾ ਕਰਨ ਵਾਲੀ ਜਾਂਚ
BIND ਆਪਣੀ ਬਾਹਰ ਜਾਣ ਵਾਲੀ ਕਵੈਰੀ ਆਪ ਬਣਾਉਂਦਾ ਹੈ, ਇਸ ਲਈ ਸਵਾਲ ਇਹ ਨਹੀਂ ਕਿ ਲੈਪਟਾਪ 10.40.0.53 ਤੱਕ ਪਹੁੰਚ ਸਕਦਾ ਹੈ, ਸਗੋਂ ਇਹ ਕਿ ਰਿਜ਼ੋਲਵਰ ਹੋਸਟ ਉਸ ਸਰੋਤ-ਪਤੇ ਤੋਂ ਪਹੁੰਚ ਸਕਦਾ ਹੈ ਜੋ ਕਾਰਪੋਰੇਟ ਸਰਵਰ ਦੇਖੇਗਾ। ਪਹਿਲਾਂ ਕਰਨਲ ਨੂੰ ਪੁੱਛੋ, ਫਿਰ ਸਰਵਰ ਨੂੰ, ਉਸੇ ਕ੍ਰਮ ਵਿੱਚ।
ip route get 10.40.0.53
named-checkconf
rndc reload corp.example
dig @10.40.0.53 corp.example NS +norecurse
dig @192.168.10.53 portal.corp.exampleਮਾਰਗ 'ਤੇ UDP ਅਤੇ TCP ਦੀ ਮਨਜ਼ੂਰੀ ਦਿਓ: ਕੱਟਿਆ ਜਵਾਬ TCP ਨੂੰ ਮਜਬੂਰ ਕਰਦਾ ਹੈ, ਅਤੇ ਸਿਰਫ਼ UDP ਦੀ ਮਨਜ਼ੂਰੀ ਦੇਣ ਵਾਲੀ ਨੀਤੀ ਪੈਕਟ ਨੁਕਸਾਨ ਵਰਗੀਆਂ ਵਿਚਕਾਰਲੀਆਂ ਫੇਲ੍ਹਤਾਂ ਪੈਦਾ ਕਰਦੀ ਹੈ। ਕਾਰਪੋਰੇਟ ਪਾਸੇ ਨੂੰ ਤੁਹਾਡੇ ਰਿਜ਼ੋਲਵਰ ਦੇ ਸਰੋਤ ਲਈ ਮਨਜ਼ੂਰੀ ਨਿਯਮ ਅਤੇ ਉੱਥੇ ਵਾਪਸੀ ਮਾਰਗ ਦੋਵੇਂ ਚਾਹੀਦੇ ਹਨ; ਉਹ ਸਰੋਤ ਰਿਜ਼ੋਲਵਰ ਦਾ ਰੂਟ ਕੀਤਾ ਪਤਾ ਜਾਂ ਸਪਸ਼ਟ ਤੌਰ 'ਤੇ ਅਨੁਵਾਦਿਤ ਪਤਾ ਹੋ ਸਕਦਾ ਹੈ, ਅਤੇ ਇਹ ਘੱਟ ਹੀ ਕਲਾਇੰਟ ਪੂਲ ਦਾ ਪਤਾ ਹੁੰਦਾ ਹੈ। ਜੇ NS ਕਵੈਰੀ ਫੇਲ੍ਹ ਹੋਵੇ, ਤਾਂ ਫਾਰਵਰਡ ਜ਼ੋਨ ਕਿਵੇਂ ਵੀ ਵਿਵਹਾਰ ਕਰੇ, ਸਟਬ ਜ਼ੋਨ ਕੰਮ ਨਹੀਂ ਕਰ ਸਕਦਾ।
ਟਨਲ ਨਹੀਂ, ਜਵਾਬ ਦੀ ਪੁਸ਼ਟੀ ਕਰੋ
ਦਫ਼ਤਰ ਰਿਜ਼ੋਲਵਰ ਰਾਹੀਂ ਅਜਿਹੇ ਨਾਮ ਦੀ ਕਵੈਰੀ ਕਰੋ ਜੋ ਤੁਸੀਂ ਕਦੇ ਨਹੀਂ ਮੰਗਿਆ, ਅਤੇ ਜਵਾਬ ਦਾ authority ਭਾਗ ਦੇਖੋ ਕਿ ਇਹ ਕਾਰਪੋਰੇਟ ਜ਼ੋਨ ਤੋਂ ਆਇਆ ਹੈ ਜਾਂ ਨਹੀਂ। ਕੈਸ਼ ਵਿੱਚ ਰੱਖਿਆ ਜਵਾਬ ਮੌਜੂਦਾ ਮਾਰਗ ਬਾਰੇ ਕੁਝ ਸਾਬਤ ਨਹੀਂ ਕਰਦਾ, ਅਤੇ ਅਪਸਟ੍ਰੀਮ ਨੂੰ ਸਿੱਧੀ ਸਫਲ ਕਵੈਰੀ ਇਹ ਸਾਬਤ ਨਹੀਂ ਕਰਦੀ ਕਿ ਤੁਹਾਡੇ ਰਿਜ਼ੋਲਵਰ ਨੇ ਉਹ ਜ਼ੋਨ ਚੁਣਿਆ। ਉਹੀ ਕਵੈਰੀ TCP 'ਤੇ ਦੁਹਰਾਓ ਤਾਂ ਜੋ ਪੱਕਾ ਹੋਵੇ ਕਿ ਮਾਰਗ ਕਟਾਈ ਸਹਿੰਦਾ ਹੈ।
ਕਲਾਇੰਟ ਦਫ਼ਤਰ ਰਿਜ਼ੋਲਵਰ ਵੱਲ ਰੱਖੋ, ਅਤੇ DNSSEC ਪੁਸ਼ਟੀ ਚਾਲੂ ਰੱਖੋ। ਸੁਤੰਤਰ ਐਨਕ੍ਰਿਪਟਿਡ ਰਿਜ਼ੋਲਵਰ ਨਾਲ ਸੰਰਚਿਤ ਬ੍ਰਾਊਜ਼ਰ ਇਸ ਪ੍ਰਬੰਧ ਨੂੰ ਪੂਰੀ ਤਰ੍ਹਾਂ ਬਾਈਪਾਸ ਕਰਦਾ ਹੈ, ਅਤੇ ਅਣਕਿਆਸੇ ਜਵਾਬ ਨੂੰ ਸਹੀ ਦਿਖਾਉਣ ਲਈ ਪੁਸ਼ਟੀ ਬੰਦ ਕਰਨਾ ਦਿਸਣ ਵਾਲੀ ਫੇਲ੍ਹਤ ਨੂੰ ਨਾ ਦਿਸਣ ਵਾਲੀ ਫੇਲ੍ਹਤ ਨਾਲ ਬਦਲਦਾ ਹੈ।
ਤਿੰਨਾਂ ਵਿੱਚੋਂ ਕਿਹੜੀ ਕਿਸਮ ਚੁਣੀ ਅਤੇ ਕਿਉਂ, ਲਿਖੋ। ਜ਼ੋਨ ਫੇਲ੍ਹ ਹੁੰਦਾ ਦੇਖਣ ਵਾਲੇ ਅਗਲੇ ਵਿਅਕਤੀ ਨੂੰ ਕਨਫਿਗ ਫਾਈਲ ਨਾਲੋਂ ਉਸ ਵਾਕ ਦੀ ਵੱਧ ਲੋੜ ਹੋਵੇਗੀ।