Správa o DNS cez VPN: čo uviesť, aby bola reprodukovateľná

„DNS je pokazené“ je záver a nie je to záver, na ktorom by pomocník mohol konať. Užitočná časť správy je podoba zlyhania: ktoré meno, cez ktorý resolver, s akou odpoveďou. Tri podrobnosti menia sťažnosť na niečo reprodukovateľné a všetky tri sa dajú bezpečne zdieľať, keď sa súkromné časti premenujú. Nasleduje minimum, ktoré správa o DNS cez VPN potrebuje, aby mohol niekto pomôcť.

Kategória mena, nie rozsudok

Začnite samotným menom a zaradte ho: verejné, interné, krátke, plne kvalifikované alebo obsluhované jednou konkrétnou príponou. Interné meno, ktoré zlyháva, zatiaľ čo verejné mená sa prekladajú, ukazuje na voľbu resolvera, nie na dostupnosť. Ak zlyhávajú všetky mená, ukazuje to na cestu k resolveru, čo je iné vyšetrovanie s inými dôkazmi. Kategória nesie diagnózu a presný reťazec možno skryť.

Povedzte, či zlyhanie vyžaduje zdvihnutý tunel, alebo nastáva po jeho odpojení. Meno, ktoré sa láme len pri aktívnom VPN, naznačuje konfiguráciu pre jednotlivé spojenia, kým to, ktoré sa láme po odpojení, naznačuje zvyškový stav. Správy to zvyčajne vynechávajú a potom sa čudujú, prečo prvý návrh nepomáha.

Zaznamenajte cestu k resolveru

Dotaz odoslaný na výslovne zvolený server a bežné vyhľadanie aplikácie sú rôzne experimenty. Uveďte, ktorý z nich zlyhanie spôsobil, pretože ručný dotaz na fungujúci server dokazuje len to, že server funguje. Príkazy nižšie oddeľujú systémovú cestu od priamej otázky.

resolvectl status --no-pager
getent hosts host.internal
dig +short host.internal @10.20.30.53

Výstup stavu uvádza servery pre jednotlivé spojenia a smerovacie domény, teda kde sa rozhoduje o split DNS. Volanie getent ide tou istou cestou ako aplikácia, vrátane poradia nsswitch. Priamy dotaz obchádza oboje a testuje jeden server izolovane. Uveďte, ktorý z troch zlyhal a ktorý uspel, a čitateľ už nemusí cestu hádať.

Uveďte kontrolované porovnanie

Zmeňte jednu premennú a povedzte, čo sa zmenilo. Verejné mená sa prekladajú, kým interné zlyhávajú — to je problém voľby; každé meno vyprší — to je problém cesty; a súkromné meno, ktoré sa preloží na verejnú adresu, je únik do nesprávneho resolvera. Dve z tých troch nemajú nič spoločné s tým, či je tunel zdvihnutý. Správa, ktorá tvrdí, že všetky dotazy sú pokazené, zvyčajne obsahuje porovnanie, ktoré sa nikdy nevykonalo.

Oddeľte preklad od doručenia. Keď sa meno preloží a stránka napriek tomu zlyhá, fáza DNS uspela a správa by to mala uviesť, pretože ďalším krokom je trasa alebo poslucháč, nie resolver. Toto jediné rozlíšenie ušetrí celé kolo otázok častejšie než akýkoľvek výňatok z logu.

Skryte menný priestor, zachovajte vzťahy

Interné mená možno nahradiť, pokiaľ náhrady zachovajú štruktúru. Priraďte každému odlišnému serveru a prípone stabilné označenie a túto mapu držte mimo zdieľanej kópie. Nahradenie každého interného hostiteľa rovnakým zástupným znakom ničí práve ten dôkaz, ktorý správa potrebuje, pretože čitateľ už nevidí, že jedna prípoma sa preložila a iná nie. Rovnaké pravidlo platí pre adresy: zachovajte vzťahy prefixov a zmeňte bity hostiteľa, ak to vyžaduje politika.

Pošlite záznam overeným kanálom a vynechajte to, čo diagnóza nikdy nepotrebuje. heslá, súkromné kľúče a nesúvisiace názvy firiem nie sú súčasťou otázky o DNS. Čitateľ potrebuje kategóriu zlyhania, cestu k resolveru, presnú chybu a to jedno porovnanie, ktoré ste urobili.