පුද්ගලික DNS VPC තුළ ක්‍රියා කරයි නමුත් VPN හරහා නොවේ
EC2 තුළ විසඳෙන නමුත් VPN හරහා නොවිසඳෙන පුද්ගලික නාමයක් resolver මාර්ගයේ ගැටලුවකි. කලාප වාර්තාව සංස්කරණය කිරීමට පෙර අසාර්ථකත්වයේ හැඩය කියවන්න.
පුද්ගලික නාමයක් EC2 අවස්ථාවකින් විසඳෙන නමුත් VPN හරහා සම්බන්ධිත ලැප්ටොප් එකකින් නොවිසඳේ, කලාපය කොන්සෝලයේ නිවැරදිව පෙනේ. පළමු පෙළඹවීම වාර්තාව සංස්කරණය කිරීමයි, එය කිසි විටෙකත් පාහේ ගැටලුව නොවේ. වාර්තාව යමෙකුට පිළිතුරු දෙයි; එය ඔබේ ලැප්ටොප් එකට පමණක් පිළිතුරු නොදෙයි. අමුත්තන් දෙදෙනා අතර වෙනස වන්නේ ඔවුන් කුමන resolver එකකින් අසන්නේද සහ එම resolver එකට VPC හි DNS දර්ශනයට සහාය දක්වන මාර්ගයක් තිබේද යන්නයි.
වාර්තාව පවතින බව ඔප්පු කිරීමෙන් මම ආරම්භ කරමි, ඉතිරි කාලය විමසුම් මාර්ගයට වැය කරමි. මේවා වෙන් වූ පද්ධති වන අතර විවිධ ආකාරවලින් අසාර්ථක වේ.
යමක් වෙනස් කිරීමට පෙර අසාර්ථකත්වයේ හැඩය කියවන්න
ප්‍රතිඵල තුනක් විවිධ දේ තුනක් අදහස් කරයි, එක් විමසුමක් ඒවා වෙන් කරයි: සේවාදායකය සැබවින්ම භාවිතා කරන resolver එකට එරෙහිව නාමය සඳහා dig ධාවනය කරන්න.
| What you see | What it usually means | First thing to check |
|---|---|---|
| SERVFAIL, or a timeout after several seconds | No path to the resolver, or the resolver cannot reach AWS | Route to the endpoint and the security policy on port 53 |
| NXDOMAIN from a resolver that did answer | The resolver replied, but the zone is not in its view | Zone association or the forwarding rule for that namespace |
| A public address for an internal name | Split DNS is not in effect for this client | Which resolver the client is configured to use |
කාලය ඉකුත් වීම ජාලය ගැන ප්‍රකාශයකි. NXDOMAIN යනු DNS දර්ශනය ගැන ප්‍රකාශයකි. පොදු පිළිතුර ප්‍රතිපත්තිය ගැන ප්‍රකාශයකි. කාලය ඉකුත් වෙමින් තිබියදී කලාප වාර්තාව සංස්කරණය කිරීම නඩුවේ එකම ප්‍රයෝජනවත් සාක්ෂිය ඉවතට විසි කරයි.
VPC හි ප්ලස්-දෙක ලිපිනය දුරස්ථ resolver එකක් නොවන්නේ ඇයි
CIDR ප්ලස්-දෙක ලිපිනය VPC තුළ ඇති සම්පත් සඳහා දේශීය සේවාවකි. දේශීය ජාලවලින් හෝ තවත් VPC එකක DNS සේවාදායකවලින් විමසුම් සෘජුවම එම ලිපිනයට යැවීම සහාය නොදක්වන අතර අස්ථිර ප්‍රතිඵල ලබා දිය හැකි බව AWS ලේඛනගත කරයි.
මින් අදහස් වන්නේ පරීක්ෂණයක් කිසි විටෙකත් ක්‍රියා කරන බව නොපෙනේ යන්න නොවේ. මින් අදහස් වන්නේ හැසිරීම උපකාරක ස්ක්‍රිප්ටයක තැබිය හැකි ගිවිසුමක් නොවන බවයි. සහාය දක්වන දිශාව වන්නේ ඇතුළට එන Resolver endpoint එකකි: ඔබේ VPC තුළ ලිපින යුගලයක්, ඔබ පාලනය කරන ජාලයෙන් ළඟා විය හැකි, AWS වලින් පිටතින් පැමිණෙන විමසුම් පිළිගන්නා.
මාර්ගය පිරිසිදුව අසාර්ථක වන අනුපිළිවෙලින් ගොඩනගන්න
පිම්ම තුනක් තිබිය යුතු අතර එක් එක් එකට තමන්ගේම අසාර්ථක වන ක්‍රමයක් ඇත.
VPN client -> approved DNS forwarder
forwarder -> forwarding rule for internal.example
forwarding rule -> Resolver inbound endpoint addressesඉදිරියට යවන්නාට VPN හරහා endpoint ලිපිනවලට මාර්ගයක් අවශ්‍ය වන අතර ආපසු මාර්ගයද ක්‍රියා කළ යුතුය. 53 වරායේ සාම්ප්‍රදායික DNS සඳහා endpoint UDP සහ TCP හරහා පිළිතුරු දෙයි, එබැවින් ප්‍රොටෝකෝල දෙකටම අවසර දිය යුතු අතර දෙකම මැද ඇති ඕනෑම තත්ත්ව පරීක්ෂාවක් ජය ගත යුතුය.
ඉන්පසු DNS දර්ශනය වෙන වෙනම පරීක්ෂා කරන්න. පුද්ගලික සත්කාරක කලාපයක් පෙනෙන්නේ එය සම්බන්ධ වී ඇති VPC වලට පමණක් හෝ හිතාමතා කරන ලද බෙදාගැනීමේ විධිවිධානයක් හරහාය. ළඟා විය හැකි endpoint එකක් තමන් විසින්ම සෑම පුද්ගලික කලාපයක්ම එහි විසඳුම් සන්දර්භය තුළ විසඳිය හැකි බවට නොපත් කරයි.
පිටතට යන endpoint එකක් ප්‍රතිවිරුද්ධ දිශාවට සේවය කරන අතර ඔබේ ලැප්ටොප් එකෙන් එන විමසුමකට පිළිතුරු නොදෙනු ඇත.
දෙකෙළවරින්ම සත්‍යාපනය කරන්න
සේවාදායකයේ සිට ඉදිරියට යවන්නාට එරෙහිව විමසන්න, පසුව ඉදිරියට යවන්නාගේ සිට endpoint එකට එරෙහිව. සේවාදායකය අසාර්ථක වන අතර ඉදිරියට යවන්නා සාර්ථක නම්, පරතරය එම දෙක අතරය.
දෙකම අසාර්ථක නම්, endpoint එකේ ආරක්ෂක ප්‍රතිපත්තිය සහ එය සැබවින්ම දකින මූලාශ්‍ර ලිපිනය දෙස බලන්න. NAT පිටුපස ඇති ඉදිරියට යවන්නෙක් ලැප්ටොප් එකේ VPN ලිපිනය වෙනුවට NAT ලිපිනය ඉදිරිපත් කරයි, එම වෙනස පමණක් විමසුම ඉවත් කිරීමට ප්‍රමාණවත්ය. දෙකම සාර්ථක වුවත් යෙදුම තවමත් අසාර්ථක නම්, යෙදුම ඔබ පරීක්ෂා කළ එකට වඩා වෙනස් resolver එකක් භාවිතා කරනවා විය හැක.
පොදු සහ පුද්ගලික නාම අවකාශ හිතාමතා වෙන් කර තබන්න. Split DNS යනු ඔබ වින්‍යාස කරන ප්‍රතිපත්තියකි, එක් සෙවීමක් අහම්බෙන් දත්ත ආපසු ලබා දීමේ අතුරු ආබාධයක් නොවේ.
මම නොකරන දේ
එක් සෙවීමක් ක්‍රියාත්මක කළ NAT රීතියක් එකතු කර එය නිර්මාණයක් ලෙස හඳුන්වන්නේ නැත.
එක් පරීක්ෂණයක් එක් වරක් වාර්තාවක් ආපසු දුන් නිසා සෑම දුරස්ථ සේවාදායකයක්ම ප්ලස්-දෙක ලිපිනයට හරවන්නේ නැත. තවද එක් ඉදිරියට යවන්නෙකුට ප්‍රවේශය අවශ්‍ය විට endpoint එකේ ආරක්ෂක ප්‍රතිපත්තිය මුළු VPN තටාකයටම පුළුල් කරන්නේ නැත. සංවිධානය දැනටමත් VPC තුළ අනුමත ඉදිරියට යවන්නෙක් ධාවනය කරන්නේ නම්, පළමුව එම නිර්මාණය කියවන්න, මන්ද ඔබ එකතු කරන දෙවන endpoint එක කිසිවෙකු ලේඛනගත නොකරන එකය.