DNS privat funksionon në VPC, por jo përmes VPN-së
Një emër privat që zgjidhet brenda EC2 por jo përmes VPN-së është problem i rrugës së resolver-it. Lexo formën e dështimit para se të ndryshosh regjistrimin e zonës.
Një emër privat zgjidhet nga një instancë EC2, por jo nga një laptop i lidhur përmes VPN-së, dhe zona duket e saktë në konsolë. Instinkti është të ndryshosh regjistrimin, gjë që pothuajse nuk është kurrë problemi. Regjistrimi po i përgjigjet dikujt; thjesht nuk po i përgjigjet laptopit tënd. Ajo që ndryshon midis dy thirrësve është cili resolver pyesin, dhe nëse ai resolver ka një rrugë të mbështetur drejt pamjes DNS të VPC-së.
Filloj duke vërtetuar se regjistrimi ekziston, pastaj kaloj pjesën tjetër të kohës në rrugën e kërkesës. Këto janë sisteme të ndara dhe dështojnë në forma të ndryshme.
Lexo formën e dështimit para se të ndryshosh gjë
Tre rezultate nënkuptojnë tre gjëra të ndryshme, dhe një kërkesë e vetme i dallon: ekzekuto dig për emrin kundrejt resolver-it që klienti përdor në të vërtetë.
| What you see | What it usually means | First thing to check |
|---|---|---|
| SERVFAIL, or a timeout after several seconds | No path to the resolver, or the resolver cannot reach AWS | Route to the endpoint and the security policy on port 53 |
| NXDOMAIN from a resolver that did answer | The resolver replied, but the zone is not in its view | Zone association or the forwarding rule for that namespace |
| A public address for an internal name | Split DNS is not in effect for this client | Which resolver the client is configured to use |
Një afat i skaduar është një deklaratë për rrjetin. NXDOMAIN është një deklaratë për pamjen DNS. Një përgjigje publike është një deklaratë për politikën. Të ndryshosh një regjistrim zone ndërsa ekziston një afat i skaduar hedh poshtë provën e vetme të dobishme të rastit.
Pse adresa plus dy e VPC-së nuk është një resolver i largët
Adresa CIDR plus dy është një shërbim lokal për burimet brenda VPC-së. AWS dokumenton se përcjellja e kërkesave nga rrjetet lokale, ose nga serverët DNS të një VPC-je tjetër, direkt në atë adresë nuk mbështetet dhe mund të prodhojë rezultate të paqëndrueshme.
Kjo nuk do të thotë që një eksperiment nuk duket kurrë se funksionon. Do të thotë që sjellja nuk është një kontratë që mund ta vendosësh në një skript ndihme. Drejtimi i mbështetur është një endpoint Resolver hyrës: një palë adresash brenda VPC-së tënde, e arritshme nga rrjeta që kontrollon, që pranon kërkesa që vijnë nga jashtë AWS.
Ndërtoje rrugën sipas rendit në të cilin dështon pastër
Duhet të ekzistojnë tre kërcime, dhe secili ka mënyrën e vet të dështimit.
VPN client -> approved DNS forwarder
forwarder -> forwarding rule for internal.example
forwarding rule -> Resolver inbound endpoint addressesPërcjellësi ka nevojë për një rrugë drejt adresave të endpoint-it përmes VPN-së, dhe rruga e kthimit duhet të funksionojë gjithashtu. Për DNS konvencional në portën 53 endpoint-i përgjigjet përmes UDP dhe TCP, prandaj të dy protokollet duhet të lejohen dhe të dy duhet t'i mbijetojnë çdo inspektimi me gjendje në mes.
Pastaj kontrollo pamjen DNS veçmas. Një zonë e strehuar private është e dukshme vetëm për VPC-të me të cilat është e asociuar, ose përmes një marrëveshjeje të qëllimshme ndarjeje. Një endpoint i arritshëm nuk e bën vetë çdo zonë private të zgjidhshme në kontekstin e saj të zgjidhjes.
Një endpoint dalës shërben drejtimin e kundërt dhe nuk do të përgjigjet për një kërkesë që vjen nga laptopi yt.
Verifiko nga të dy skajet
Pyet nga klienti kundrejt përcjellësit, pastaj nga përcjellësi kundrejt endpoint-it. Nëse klienti dështon ndërsa përcjellësi ka sukses, hendeku është midis atyre të dyve.
Nëse të dy dështojnë, shiko politikën e sigurisë në endpoint dhe adresën burimore që ai sheh në të vërtetë. Një përcjellës pas NAT paraqet adresën NAT në vend të adresës VPN të laptopit, dhe vetëm ai ndryshim mjafton për ta hedhur poshtë kërkesën. Nëse të dy kanë sukses por aplikacioni vazhdon të dështojë, aplikacioni mund të përdorë një resolver tjetër nga ai që testove.
Mbaji të ndara me qëllim hapësirat e emrave publike dhe private. Split DNS është një politikë që e konfiguron, jo një efekt anësor i një kërkese që kthen të dhëna rastësisht.
Çfarë nuk do të bëja
Nuk do të shtoja një rregull NAT që e bëri një kërkesë të vetme të funksionojë dhe ta quaja dizajn.
Nuk do të drejtoja çdo klient të largët drejt adresës plus dy sepse një test ktheu një regjistrim një herë. Dhe nuk do ta zgjeroja politikën e sigurisë së endpoint-it në të gjithë grupin VPN kur një përcjellës i vetëm ka nevojë për akses. Nëse organizata tashmë drejton një përcjellës të miratuar brenda VPC-së, lexoje atë dizajn së pari, sepse endpoint-i i dytë që shton është ai që askush nuk e dokumenton.