DNS v majáku Nebula: kto smie dopytovať ktoré záznamy?

Rola majáka v Nebule robí veľa práce, ktorú ľudia považujú za automatickú, a odpovedanie na DNS medzi ne nepatrí. Služba mien je voliteľný poslucháč, ktorý štartuje vypnutý, a preto hostiteľ, ktorý v overlayi dobre prekladá mená, nemusí mať čím preložiť notebook kolegu. Pred zapnutím rozhodnite, kto sa k nemu má dostať a ktoré typy záznamov ste ochotní odpovedať, lebo tieto dve odpovede sa líšia.

Poslucháč je voliteľný a v predvolenom stave vypnutý

Zisťovanie a DNS sú oddelené služby. Maják pomáha peerom nájsť jeden druhého a navyše môže odpovedať na dopyty na mená hostiteľov, ktoré pozná, ale táto druhá časť musí byť v konfigurácii výslovne zapnutá.

Pred povolením čohokoľvek rozhodnite, ktoré rozhrania a siete sa k poslucháčovi majú dostať. DNS služba, ktorá odpovedá na rozhraní, ktoré ste nezamýšľali, sa stáva malým únikom informácií bez jediného záznamu v logu, ktorý by niekto čítal. Rozhodnutie je teraz oveľa lacnejšie než neskoršie zužovanie, keď už niečo závisí od nesprávnej odpovede. Dva riadky konfigurácie sa obhajujú ľahšie než poznámka o incidente o pol roka.

Záznamy A a TXT nezdieľajú rovnaké publikum

Na tieto dva typy záznamov sa odpovedá za rôznych podmienok a považovať ich za jednu službu je chyba, ktorej má tento článok zabrániť.

Táto asymetria je zámerná, nie opomenutie. Priradenie mena k adrese má pre cudzieho človeka malú hodnotu, kým metadáta certifikátu opisujú identity vo vašom overlayi. Nepresúvajte predpoklad z jedného riadka na druhý len preto, že na oba odpovedá ten istý proces.

Odpovedá len o vlastných hostiteľoch majáka

Toto nie je všeobecný resolver pre vašu kanceláriu, váš cloudový VPC ani verejný internet. Maják odpovedá z informácií o hostiteľoch, ktoré dostal, a preto funkcia žije na uzloch majáka, nie na každom peere.

Keď meno zlyhá a overlay s tým nemá nič spoločné, nájdite zónu a resolver, ktoré ho skutočne vlastnia. Miešanie overlay resolvera do všeobecnej DNS konfigurácie hostiteľa vytvára zlyhania, ktoré vyzerajú náhodne, lebo niektoré mená sa preložia a na iné neodpovedá nič.

Sledujte aj bootstrapový koncový bod. Meno hostiteľa použité na dosiahnutie prvého majáka sa musí preložiť bežnou cestou, kým na ňom zisťovanie môže závisieť, takže problém sliepky a vajca tu vyzerá presne ako pokazený overlay. Dokonca sa to hlási rovnako: peer, ktorý nikdy nenabehne, a žiadny zrejmý dôvod. Skontrolujte preklad mien, kým sa dotknete certifikátov, lebo toto poradie chytá ľudí, ktorí začali ťažšou polovicou.

Skontrolujte adresu väzby a potom testujte zvonku

lighthouse.dns.host a lighthouse.dns.port určujú, kde voliteľná služba počúva. Prejdite tieto hodnoty spolu s firewallom hostiteľa a sieťovou politikou, lebo adresa väzby je vyhlásenie zámeru, nie bezpečnostná kontrola sama o sebe.

dig @10.42.0.1 -p 53 workstation.nebula A +short
dig @10.42.0.1 -p 53 10.42.0.7 TXT +short

Dopytujte sa zo sietí, ktoré hodláte povoliť, nie z majáka samotného. Úspešné hľadanie na majáku dokazuje, že proces beží, a nehovorí vám nič o tom, na čo sa môže opýtať vonkajší hostiteľ, a to je otázka, na ktorej skutočne záleží.

Vystavujte ho vedome

Mená a metadáta certifikátov sú užitočné prevádzkové informácie a užitočnosť reže na obe strany. Rozhodnite, či má byť poslucháč len pre overlay, ktoré typy záznamov povoliť a kto konfiguráciu reviduje, keď sa zmení.

Potom to zapíšte vedľa nastavení majáka. Ďalší človek, ktorý bude ladiť zlyhanie prekladu, bude inak predpokladať, že služba tam bola vždy. Tiež bude predpokladať, že bola vždy dostupná odtiaľ, kde práve testuje. Jeden odsek so zaznamenanou adresou väzby, povolenými sieťami a typmi záznamov ušetrí tomu človeku popoludnie a vám ušetrí správu s otázkou, prečo sa niečo zmenilo.