Rekursja niedostępna: polityka DNS, a nie zepsuty tunel

Wewnętrzna nazwa się rozwiązuje, a ten sam serwer odpowiada na nazwę zewnętrzną odmową dotyczącą rekursji. Ta kombinacja nie jest sprzecznością. Publikowanie własnych stref i rozwiązywanie całego internetu to dwie odrębne usługi, które serwer może oferować, i może wykonywać pierwszą bez drugiej. Traktuj odmowę jako oświadczenie polityki, a następnie sprawdź, czy polityka pasuje do projektu.

Odmowa i przekroczenie czasu to różne odpowiedzi

Zapisz nazwę, typ zapytania, odpowiadający serwer, status i zwrócone rekordy. Ostrzeżenie o rekursji nie unieważnia automatycznie odpowiedzi autorytatywnej, która przyszła razem z nim. Zapisz status, zanim go zinterpretujesz. Status odtworzony z pamięci godzinę później to inny fakt.

Nagłówek DNS niesie żądanie rekursji i wskazanie, czy serwer ją oferuje, a specyfikacja protokołu trzyma te flagi oddzielnie od danych odpowiedzi. Dlatego odpowiedź może być użyteczna i mimo to nieść skargę. Przekroczenie czasu, odpowiedź negatywna i odmowa to trzy różne wyniki. Każdy wskazuje inną warstwę, i tylko odmowa jest serwerem mówiącym ci o polityce.

Najpierw przeczytaj kod statusu, potem zdecyduj, czy ostrzeżenie ma znaczenie dla tego zapytania. Odpowiedź autorytatywna, która nazywa strefę, jest użyteczna nawet gdy bit rekursji jest odrzucany. Odmowa bez odpowiedzi to wynik polityki, a nie zepsuta ścieżka pakietów.

Co resolver zapisał jako twoje źródło

Klient może przychodzić z puli adresów spoza dozwolonych zakresów rekursji serwera, albo tłumaczenie może sprawić, że będzie wyglądał jak brama. Własny adres adaptera klienta nie jest dowodem na to, co otrzymał resolver. Zapytaj administratora serwera o zaobserwowane źródło, zamiast wnioskować je po swojej stronie ścieżki. Oba adresy mogą się różnić na każdym przeskoku, który tłumaczy.

Zapytaj o tę samą nazwę z klienta i z hosta, któremu serwer już ufa. Różnica między obiema odpowiedziami to warunek źródła, i jest użyteczniejsza niż każda z odpowiedzi osobno.

dig +short host.corp.example
dig +short example.com

Jeśli wdrożenie chce rekursji dla klientów VPN, administrator autoryzuje odpowiedni zakres źródeł przez własne mechanizmy serwera. Otwarcie rekursji dla każdej sieci, aby jeden test przeszedł, to znacznie większa zmiana niż testowana. Zapisz autoryzowany zakres obok reguły, bo następny recenzent zapyta, którym źródłom polityka miała służyć. Zakres źródeł bez właściciela to sposób, w jaki tymczasowy test staje się trwały.

Podzielony DNS to projekt, a nie usterka

Niektóre wdrożenia wysyłają tylko domeny robocze do prywatnego resolvera, a wszystko inne do innego zatwierdzonego resolvera. To projekt trasowania zapytań i nie jest dowodem, że prywatny serwer potrzebuje luźniejszej polityki. W tym projekcie zewnętrzna nazwa, która zawodzi przez prywatny resolver, jest zamierzonym wynikiem, a nie usterką. Odmowa jest projektem, który działa, a nie objawem do stłumienia.

Publiczny resolver może przywrócić przeglądanie, jednocześnie psując wewnętrzne nazwy lub wysyłając prywatne zapytania tam, gdzie nie powinny trafiać. Zapisz zamierzone zachowanie, zanim zmienisz jakikolwiek adres resolvera.

Sprawdź politykę dwoma zapytaniami

Po zamierzonej poprawce zapytaj o dozwoloną nazwę prywatną i nazwę zewnętrzną z rzeczywistego klienta. To, co wróci, powinno być tym, co obiecuje polityka, a nie tylko cichszą diagnostyką. Zapisz odpowiadający serwer przy każdej odpowiedzi, a potem porównaj parę z polityką. Porównanie jest testem, a jedno udane wyszukiwanie nie jest.

resolvectl query host.corp.example
resolvectl query example.com

Jeśli nazwa prywatna działa, a nazwa publiczna jest odrzucana, polityka robi to, co mówi. Jeśli nazwa prywatna też zawodzi, problem leży w strefie, trasie lub autoryzacji źródła, a rekursja jest rozproszeniem. Oba wyniki są użyteczne, i każdy wyklucza połowę pozostałych hipotez.

Czytaj odmowę jako dowód

Odmowa jest odpowiedzią. Oznacza, że serwer otrzymał zapytanie i odmówił wykonania żądanej pracy, co różni się od pakietu, który nigdy nie dotarł. Ta różnica to cała diagnoza. Zarejestruj ją jako odpowiedź, a nie jako awarię łączności.

Ta różnica mówi ci, gdzie patrzeć: w logach serwera, jego polityce dostępu i zapisanym źródle. Zmiana zapory nie naprawi odmowy polityki, a zmiana polityki nie naprawi brakującej trasy. Trzymaj obie hipotezy osobno, dopóki jedna z nich nie ma dowodu.

Zapisz wynik i właściciela polityki w zgłoszeniu, aby następna osoba zaczynała od decyzji, a nie od ostrzeżenia. Wymień autoryzowany zakres źródeł i dwie nazwy, które sprawdziłeś. Zgłoszenie z tymi trzema faktami można uruchomić ponownie; takie, które mówi "rekursja jest zepsuta", nie.