Rekurzija ni na voljo: politika DNS, ne pokvarjen tunel

Notranje ime se razreši in isti strežnik odgovori na zunanje ime z zavrnitvijo glede rekurzije. Ta kombinacija ni protislovje. Objavljanje lastnih con in razreševanje celotnega interneta sta dve ločeni storitvi, ki jih strežnik lahko ponuja, in prvo lahko izvaja brez druge. Zavrnitev obravnavajte kot izjavo o politiki, nato preverite, ali se politika ujema z zasnovo.

Zavrnitev in potek časa sta različna odgovora

Zapišite ime, vrsto poizvedbe, strežnik, ki odgovarja, stanje in vrnjene zapise. Opozorilo o rekurziji ne razveljavi samodejno avtoritativnega odgovora, ki je prišel z njim. Zapišite stanje, preden ga razložite. Stanje, rekonstruirano iz spomina uro pozneje, je drugo dejstvo.

Glava DNS nosi zahtevo za rekurzijo in navedbo, ali jo strežnik ponuja, in specifikacija protokola drži te zastavice ločene od podatkov odgovora. Zato je lahko odgovor uporaben in vseeno nosi pritožbo. Potek časa, negativen odgovor in zavrnitev so trije različni izidi. Vsak kaže na drugo plast in samo zavrnitev je strežnik, ki vam govori o politiki.

Najprej preberite kodo stanja, nato se odločite, ali je opozorilo pomembno za to poizvedbo. Avtoritativni odgovor, ki imenuje cono, je uporaben tudi ko je rekurzivni bit zavrnjen. Zavrnitev brez odgovora je izid politike, ne pokvarjena pot paketov.

Kaj je razreševalnik zabeležil kot vaš vir

Odjemalec lahko prihaja iz nabora naslovov zunaj dovoljenih rekurzivnih obsegov strežnika, ali ga prevod lahko prikaže kot prehod. Lasten naslov vmesnika odjemalca ni dokaz o tem, kaj je razreševalnik prejel. Vprašajte skrbnika strežnika za opaženi vir, namesto da ga sklepate s svoje strani poti. Dva naslova se lahko razlikujeta na vsakem koraku, ki prevaja.

Povprašajte po istem imenu z odjemalca in z gostitelja, ki mu strežnik že zaupa. Razlika med odgovoroma je pogoj vira in je uporabnejša od katerega koli odgovora samega.

dig +short host.corp.example
dig +short example.com

Če uvedba želi rekurzijo za odjemalce VPN, skrbnik avtorizira ustrezen obseg virov prek lastnih nadzorov strežnika. Odpreti rekurzijo za vsako omrežje, da en test uspe, je veliko večja sprememba od tiste, ki se preizkuša. Zapišite avtorizirani obseg ob pravilo, ker bo naslednji pregledovalec vprašal, katerim virom naj bi politika služila. Obseg virov brez lastnika je način, kako začasen test postane trajen.

Razdeljeni DNS je zasnova, ne okvara

Nekatere uvedbe pošiljajo samo delovne domene zasebnemu razreševalniku, vse ostalo pa drugemu odobrenemu razreševalniku. To je zasnova usmerjanja poizvedb in ni dokaz, da zasebni strežnik potrebuje ohlapnejšo politiko. V tej zasnovi je zunanje ime, ki ne uspe prek zasebnega razreševalnika, predvideni izid in ne okvara. Zavrnitev je zasnova, ki deluje, ne simptom, ki bi ga bilo treba zadušiti.

Javni razreševalnik lahko obnovi brskanje, medtem ko pokvari notranja imena ali pošlje zasebne poizvedbe tja, kamor ne sodijo. Zapišite predvideno vedenje, preden spremenite kateri koli naslov razreševalnika.

Preverite politiko z dvema poizvedbama

Po predvidenem popravku povprašajte po dovoljenem zasebnem imenu in zunanjem imenu z dejanskega odjemalca. Kar se vrne, bi moralo biti tisto, kar politika obljublja, ne le tišja diagnostika. Zapišite strežnik, ki odgovarja, pri vsakem odgovoru, nato primerjajte par s politiko. Primerjava je test in eno uspešno iskanje ni.

resolvectl query host.corp.example
resolvectl query example.com

Če zasebno ime deluje in je javno ime zavrnjeno, politika dela to, kar pravi. Če tudi zasebno ime ne uspe, je težava v coni, poti ali avtorizaciji vira, in rekurzija je odvračanje pozornosti. Oba izida sta uporabna in vsak izključi polovico preostalih hipotez.

Berite zavrnitev kot dokaz

Zavrnitev je odgovor. Pomeni, da je strežnik prejel poizvedbo in zavrnil opraviti zahtevano delo, kar se razlikuje od paketa, ki ni nikoli prispel. Ta razlika je celotna diagnoza. Zabeležite jo kot odgovor, ne kot odpoved povezljivosti.

Ta razlika vam pove, kam gledati: v dnevnike strežnika, njegovo politiko dostopa in vir, ki ga je zabeležil. Sprememba požarnega zidu ne more popraviti zavrnitve politike, sprememba politike pa ne more popraviti manjkajoče poti. Držite hipotezi ločeni, dokler ena od njiju nima dokaza.

Zapišite izid in lastnika politike v zahtevek, da bo naslednja oseba začela pri odločitvi in ne pri opozorilu. Navedite avtorizirani obseg virov in dve imeni, ki ste ju preizkusili. Zahtevek s temi tremi dejstvi je mogoče znova zagnati; tistega, ki pravi "rekurzija je pokvarjena", ni.