DNS svjetionika Nebula: tko smije upitati koje zapise?

Uloga svjetionika u Nebuli obavlja mnogo posla za koji ljudi pretpostavljaju da je automatski, a odgovaranje na DNS nije jedan od njih. Posluživanje imena neobavezni je slušatelj koji počinje isključen, zbog čega host koji se dobro razrješava unutar overlayja možda uopće nema čime razriješiti kolegin prijenosnik. Prije nego ga uključite, odlučite koga treba dosegnuti i koje vrste zapisa ste spremni odgovarati, jer se ta dva odgovora razlikuju.

Slušatelj je neobavezan i prema zadanim postavkama isključen

Otkrivanje i DNS odvojene su usluge. Svjetionik pomaže peerovima pronaći jedni druge i dodatno može odgovarati na upite imena o hostovima koje poznaje, ali taj drugi dio mora se izričito uključiti u konfiguraciji.

Odlučite koja mrežna sučelja i mreže trebaju dosegnuti slušatelj prije nego što bilo što omogućite. DNS usluga koja odgovara na sučelju koje niste namjeravali postaje malo curenje informacija bez ijednog zapisa u dnevniku koji netko čita. Odluku je sada mnogo jeftinije donijeti nego je kasnije sužavati, nakon što se nešto osloni na pogrešan odgovor. Dva retka konfiguracije lakše je obrazložiti od bilješke o incidentu za šest mjeseci.

A zapisi i TXT ne dijele istu publiku

Na te dvije vrste zapisa odgovara se pod različitim uvjetima, a tretiranje njih kao jedne usluge pogreška je koju ovaj članak postoji da spriječi.

Ta je asimetrija namjerna, a ne propust. Preslikavanje imena u adresu ima malu vrijednost za autsajdera, dok metapodaci certifikata opisuju identitete u vašem overlayju. Ne prenosite pretpostavku s jednog retka na drugi samo zato što isti proces odgovara na oba.

Odgovara samo o vlastitim hostovima svjetionika

Ovo nije opći resolver za vaš ured, vaš cloud VPC ili javni internet. Svjetionik odgovara iz podataka o hostovima koji su mu dani, zato i ta funkcija živi na čvorovima svjetionika, a ne na svakom peeru.

Kada ime ne uspije, a overlay nema s tim veze, pronađite zonu i resolver koji ga doista posjeduju. Miješanje overlay resolvera u opću DNS konfiguraciju hosta stvara otkaze koji izgledaju slučajno, jer neka se imena razrješavaju, a na druga ne odgovara ništa.

Pratite i bootstrap krajnju točku. Ime hosta koje se koristi za dosezanje prvog svjetionika mora se razriješiti običnim putem prije nego što se otkrivanje može osloniti na njega, pa problem kokoši i jajeta ovdje izgleda točno kao pokvaren overlay. Čak se i prijavljuje na isti način: peer koji nikad ne ustaje i nikakav očigledan razlog. Provjerite razrješavanje imena prije nego što dirate certifikate, jer taj redoslijed hvata ljude koji su počeli s težom polovinom.

Provjerite adresu vezivanja, pa testirajte izvana

lighthouse.dns.host i lighthouse.dns.port određuju gdje neobavezna usluga sluša. Pregledajte te vrijednosti uz firewall hosta i mrežnu politiku, jer adresa vezivanja je izjava namjere, a ne sigurnosna kontrola sama po sebi.

dig @10.42.0.1 -p 53 workstation.nebula A +short
dig @10.42.0.1 -p 53 10.42.0.7 TXT +short

Upućujte upite s mreža koje namjeravate dopustiti, ne sa samog svjetionika. Uspješno traženje na svjetioniku dokazuje da proces radi i ne govori vam ništa o tome što vanjski host može pitati, a to je pitanje koje je doista važno.

Izložite ga namjerno

Imena i metapodaci certifikata korisna su operativna informacija, a korisnost siječe na obje strane. Odlučite treba li slušatelj biti samo za overlay, koje vrste zapisa dopustiti i ko pregledava konfiguraciju kada se promijeni.

Zatim to zapišite pokraj postavki svjetionika. Sljedeća osoba koja bude otklanjala kvar razrješavanja inače će pretpostaviti da je usluga oduvijek bila tu. Također će pretpostaviti da je oduvijek bila dostupna odakle god slučajno testira. Jedan odlomak koji bilježi adresu vezivanja, dopuštene mreže i vrste zapisa štedi toj osobi jedno poslijepodne i štedi vama poruku s pitanjem zašto se nešto promijenilo.