Zasebni DNS deluje v VPC, vendar ne prek VPN
Zasebno ime, ki se razreši znotraj EC2, a ne prek VPN, je težava poti resolverja. Preberite obliko okvare, preden uredite zapis območja.
Zasebno ime se razreši z instance EC2, a ne s prenosnika, povezanega prek VPN, in območje je v konzoli videti pravilno. Nagib je, da uredite zapis, kar skoraj nikoli ni težava. Zapis nekomu odgovarja; le vašemu prenosniku ne odgovarja. Razlika med obema klicateljema je, kateri resolver vprašata in ali ima ta resolver podprto pot v pogled DNS v VPC.
Začnem z dokazovanjem, da zapis obstaja, preostali čas pa namenim poti poizvedbe. To sta ločena sistema in odpovedujeta na različne načine.
Preberite obliko okvare, preden karkoli spremenite
Trije izidi pomenijo tri različne stvari in ena poizvedba jih loči: zaženite dig za ime proti resolverju, ki ga odjemalec dejansko uporablja.
| What you see | What it usually means | First thing to check |
|---|---|---|
| SERVFAIL, or a timeout after several seconds | No path to the resolver, or the resolver cannot reach AWS | Route to the endpoint and the security policy on port 53 |
| NXDOMAIN from a resolver that did answer | The resolver replied, but the zone is not in its view | Zone association or the forwarding rule for that namespace |
| A public address for an internal name | Split DNS is not in effect for this client | Which resolver the client is configured to use |
Časovna omejitev je trditev o omrežju. NXDOMAIN je trditev o pogledu DNS. Javni odgovor je trditev o pravilniku. Urejanje zapisa območja, medtem ko traja časovna omejitev, zavrže edini koristen dokaz v primeru.
Zakaj naslov plus dva v VPC ni oddaljeni resolver
Naslov CIDR plus dva je lokalna storitev za vire znotraj VPC. AWS dokumentira, da posredovanje poizvedb iz lokalnih omrežij ali iz strežnikov DNS drugega VPC neposredno na ta naslov ni podprto in lahko daje nestabilne rezultate.
To ne pomeni, da poskus nikoli ne deluje. Pomeni, da vedenje ni pogodba, ki bi jo lahko vstavili v skript za podporo. Podprta smer je dohodna končna točka Resolver: par naslovov znotraj vašega VPC, dosegljiv iz omrežja, ki ga nadzorujete, ki sprejema poizvedbe, ki prihajajo od zunaj AWS.
Zgradite pot v vrstnem redu, v katerem odpove čisto
Obstajati morajo trije preskoki in vsak ima svoj način odpovedi.
VPN client -> approved DNS forwarder
forwarder -> forwarding rule for internal.example
forwarding rule -> Resolver inbound endpoint addressesPosredovalnik potrebuje pot do naslovov končne točke prek VPN, tudi povratna pot mora delovati. Za običajni DNS na vratih 53 končna točka odgovarja prek UDP in TCP, zato morata biti dovoljena oba protokola in oba morata prestati kakršen koli nadzor stanja na poti.
Nato preverite pogled DNS ločeno. Zasebno gostovano območje je vidno le VPC, s katerimi je povezano, ali prek namernega dogovora o souporabi. Dosegljiva končna točka sama po sebi ne naredi vsakega zasebnega območja razrešljivega v njegovem kontekstu razreševanja.
Odhodna končna točka služi nasprotni smeri in ne bo odgovorila na poizvedbo, ki prihaja s prenosnika.
Preverite z obeh strani
Poizvedujte z odjemalca proti posredovalniku, nato s posredovalnika proti končni točki. Če odjemalec odpove, medtem ko posredovalnik uspe, je vrzel med tema dvema.
Če odpovesta oba, poglejte varnostni pravilnik na končni točki in izvorni naslov, ki ga dejansko vidi. Posredovalnik za NAT predstavi naslov NAT namesto naslova VPN prenosnika in že ta razlika zadostuje, da se poizvedba zavrže. Če oba uspeta, aplikacija pa še vedno odpoveduje, morda uporablja drug resolver kot tega, ki ste ga preizkusili.
Javni in zasebni imenski prostor hranite namerno ločena. Split DNS je pravilnik, ki ga nastavite, ne stranski učinek tega, da ena poizvedba po naključju vrne podatke.
Česa ne bi naredil
Ne bi dodal pravila NAT, ki je usposobilo eno samo poizvedbo, in tega ne bi imenoval zasnova.
Ne bi vseh oddaljenih odjemalcev usmeril na naslov plus dva samo zato, ker je en preizkus enkrat vrnil zapis. In ne bi razširil varnostnega pravilnika končne točke na celoten nabor VPN, ko dostop potrebuje en sam posredovalnik. Če organizacija že vodi odobren posredovalnik znotraj VPC, najprej preberite to zasnovo, ker je druga končna točka, ki jo dodate, tista, ki je nihče ne dokumentira.