DNS da VPN errado? Um servidor autoritativo pode estar obsoleto

Conecte a VPN e um nome de host resolve para o endereço de ontem, ou para nada. Desconecte e volta a funcionar. O reflexo é culpar o resolvedor que o túnel impôs, mas a causa mais comum é um servidor de nomes publicado que parou de receber atualizações da zona. O novo caminho simplesmente chegou a outra autoridade diferente daquela de onde veio sua resposta em cache.

O sintoma muda com o resolvedor

Um resolvedor recursivo devolve o que uma autoridade lhe disse e depois mantém essa resposta durante o TTL. Se o túnel impõe outro resolvedor, ou muda o caminho de modo que o antigo não seja mais alcançável, o cliente pergunta a outra autoridade e obtém outra resposta. O domínio não mudou naquele momento; sua visão dele mudou.

É por isso que o mesmo nome pode funcionar em um escritório e falhar de um hotel, e por isso limpar o cache local só ajuda às vezes. Limpar o cache envia a pergunta de novo à mesma autoridade.

O teste que os distingue é uma consulta direta a cada servidor publicado.

Consulte cada autoridade diretamente

Comece pela delegação e não por uma lista que você lembra. Peça ao pai o conjunto NS e depois consulte cada nome desse conjunto para o registro que lhe interessa. Duas consultas do mesmo nome em autoridades diferentes dizem de imediato se a zona é coerente.

dig +short NS example.com
dig @ns1.dns.example app.example.com A
dig @ns2.dns.example app.example.com A

Faça o mesmo com os registros NS do ápice da zona, porque a delegação do pai e o conjunto NS da própria zona podem divergir após uma migração. Os números de série no SOA são a próxima coisa a comparar, e um secundário muito atrasado é um problema de transferência, não de resposta.

Execute essas consultas a partir da rede que falha, não apenas da sua mesa.

Separe as visões pretendidas das quebradas

Alguns domínios respondem de propósito de forma diferente por região ou grupo de resolvedores, e configurações de horizonte dividido são normais em redes corporativas.

A questão é se a diferença está documentada e é estável. Uma visão não pretendida parece diferente: uma autoridade tem um registro que as outras nunca receberam, ou não tem um que todas compartilham. O guia RFC 2182 de seleção e implantação trata a disponibilidade autoritativa como responsabilidade compartilhada, e esse é o quadro correto aqui. A redundância só existe se cada servidor publicado consegue responder com os dados pretendidos, não apenas aceitar uma conexão na porta 53.

Um servidor que responde SERVFAIL é mais fácil de diagnosticar do que um que responde com confiança e de forma errada.

Uma migração expõe o que um cache ocultava

Durante uma troca de provedor, dois locais autoritativos mudam: a delegação do pai e os registros NS da própria zona. Ambos precisam ser atualizados, e ambos ficam em cache pelos seus TTL. Se um servidor antigo continua no ar e continua servindo a zona anterior, os clientes cujos resolvedores perguntam a ele continuarão recebendo a resposta antiga muito depois de a migração parecer concluída.

Esse é exatamente o estado que um cache de longa duração esconde. A estação de trabalho que funcionou a semana toda falava com um resolvedor que tinha uma resposta fresca da nova autoridade, enquanto o antigo continuava distribuindo dados obsoletos a todos os outros.

Trocar o resolvedor em um notebook conserta aquele notebook e mais nada.

Conserte a zona, não o resolvedor

Identifique quais servidores devem ser autoritativos para a zona, corrija a zona gerenciada ou a delegação para que cada um deles sirva os dados pretendidos, e mantenha a redundância que você planejou. Apagar um servidor de nomes porque uma saída VPN recebeu uma resposta estranha reduz a disponibilidade e deixa a inconsistência no lugar.

Depois execute novamente as consultas diretas a partir das duas redes e espere o TTL do registro que você alterou expirar.

Confirme que a resposta é estável a partir de cada autoridade, e registre a visão pretendida na documentação da zona para que a próxima diferença seja fácil de classificar.