Rekurzia nie je dostupná: politika DNS, nie pokazený tunel

Interné meno sa vyrieši a ten istý server odpovedá na externé meno odmietnutím kvôli rekurzii. Táto kombinácia nie je protirečenie. Zverejňovanie vlastných zón a riešenie celého internetu sú dve oddelené služby, ktoré server môže ponúkať, a môže robiť prvú bez druhej. Berte odmietnutie ako vyhlásenie o politike a potom skontrolujte, či politika zodpovedá návrhu.

Odmietnutie a vypršanie času sú rôzne odpovede

Zapíšte meno, typ dopytu, odpovedajúci server, stav a vrátené záznamy. Varovanie o rekurzii automaticky neruší autoritatívnu odpoveď, ktorá prišla s ním. Zapíšte stav, kým ho vyložíte. Stav rekonštruovaný po hodine z pamäti je iný fakt.

Hlavička DNS nesie žiadosť o rekurziu a údaj, či ju server ponúka, a špecifikácia protokolu drží tieto príznaky oddelene od údajov odpovede. Preto môže byť odpoveď užitočná a napriek tomu niesť sťažnosť. Vypršanie času, negatívna odpoveď a odmietnutie sú tri rôzne výsledky. Každý ukazuje na inú vrstvu a len odmietnutie je server, ktorý vám hovorí o politike.

Najprv prečítajte stavový kód, potom rozhodnite, či je varovanie pre tento dopyt dôležité. Autoritatívna odpoveď, ktorá pomenúva zónu, je použiteľná aj keď je rekurzívny bit odmietnutý. Odmietnutie bez odpovede je výsledok politiky, nie pokazená cesta paketov.

Čo resolver zaznamenal ako váš zdroj

Klient môže prichádzať z fondu adries mimo povolených rekurzívnych rozsahov servera, alebo ho preklad môže vydávať za bránu. Vlastná adresa adaptéra klienta nie je dôkazom o tom, čo resolver prijal. Pýtajte sa správcu servera na pozorovaný zdroj, namiesto toho aby ste ho odvodzovali zo svojej strany cesty. Obe adresy sa môžu líšiť na každom skoku, ktorý prekladá.

Dopytujte to isté meno z klienta aj z hostiteľa, ktorému server už dôveruje. Rozdiel medzi oboma odpoveďami je stav zdroja a je užitočnejší ako ktorákoľvek z odpovedí samostatne.

dig +short host.corp.example
dig +short example.com

Ak nasadenie chce rekurziu pre klientov VPN, správca autorizuje príslušný rozsah zdrojov cez vlastné kontroly servera. Otvorenie rekurzie do celej siete, aby prešiel jeden test, je oveľa väčšia zmena než tá, ktorá sa testuje. Zapíšte autorizovaný rozsah vedľa pravidla, pretože ďalší recenzent sa opýta, ktorým zdrojom mala politika slúžiť. Rozsah zdrojov bez vlastníka je spôsob, akým sa dočasný test stane trvalým.

Rozdelený DNS je návrh, nie porucha

Niektoré nasadenia posielajú len pracovné domény privátnemu resolveru a všetko ostatné inému schválenému resolveru. To je návrh smerovania dopytov a nie je dôkaz, že privátny server potrebuje voľnejšiu politiku. V tomto návrhu je externé meno, ktoré cez privátny resolver zlyhá, zamýšľaný výsledok, nie porucha. Odmietnutie je návrh, ktorý funguje, nie symptóm na potlačenie.

Verejný resolver môže obnoviť prehliadanie, a pritom pokaziť interné mená alebo poslať privátne dopyty tam, kam nemajú. Zapíšte zamýšľané správanie, kým zmeníte adresu akéhokoľvek resolvera.

Overte politiku dvoma dopytmi

Po zamýšľanej oprave sa dopytujte na povolené privátne meno a externé meno zo skutočného klienta. To, čo sa vráti, má byť to, čo politika sľubuje, nie len tichšia diagnostika. Zapíšte odpovedajúci server pri každej odpovedi a potom porovnajte dvojicu s politikou. Porovnanie je test a jedno úspešné hľadanie nie je.

resolvectl query host.corp.example
resolvectl query example.com

Ak privátne meno funguje a verejné je odmietnuté, politika robí to, čo hovorí. Ak zlyhá aj privátne meno, problém je v zóne, trase alebo autorizácii zdroja a rekurzia je rozptýlenie. Oba výsledky sú užitočné a každý vylučuje polovicu zostávajúcich hypotéz.

Čítajte odmietnutie ako dôkaz

Odmietnutie je odpoveď. Znamená, že server dopyt prijal a odmietol vykonať požadovanú prácu, čo je iné ako paket, ktorý nikdy nedorazil. Tento rozdiel je celá diagnóza. Zaznamenajte ho ako odpoveď, nie ako zlyhanie pripojenia.

Tento rozdiel vám povie, kam sa pozerať: do logov servera, jeho prístupovej politiky a zdroja, ktorý zaznamenal. Zmena firewallu nemôže opraviť odmietnutie politiky a zmena politiky nemôže opraviť chýbajúcu trasu. Držte obe hypotézy oddelene, kým jedna z nich nemá dôkaz.

Zapíšte výsledok a vlastníka politiky do tiketu, aby ďalší človek začal pri rozhodnutí, nie pri varovaní. Uveďte autorizovaný rozsah zdrojov a dve mená, ktoré ste testovali. Tiket s týmito tromi faktami možno znova spustiť; ten, ktorý hovorí "rekurzia je pokazená", nie.