Pse një zonë private Route 53 kthen NXDOMAIN për emrat publikë

Zonat private Route 53 zëvendësojnë përgjigjen për një emër në vend që të bashkohen me regjistrimin publik, dhe kjo i befason njerëzit në momentin më të keq. Shtoni një regjistrim të brendshëm për api.example.net në një zonë private për example.net, lidheni me një VPC, dhe çdo emër tjetër nën atë prind tani përgjigjet vetëm nga zona private. Një klient që dje mund të arrinte www.example.net sot merr një përgjigje negative. Rrjedha më poshtë nis nga ajo kërkesë e dështuar dhe shkon nga jashtë drejt zonës që iu përgjigj.

Nisni nga kërkesa, jo nga konsola

Riprodhoni dështimin te klienti që e raportoi dhe shënoni emrin e saktë dhe llojin e regjistrimit. Një emër që dështon për A mund të zgjidhet ende për AAAA, dhe një shfletues që riprovon një emër të ruajtur në cache fsheh cili prej të dyve u prish. Ekzekutoni kërkesën dy herë: një herë përmes resolver-it që klienti përdor vërtet dhe një herë me një gjurmim që e anashkalon.

dig +short api.example.net
dig www.example.net +noall +comments +authority
resolvectl query www.example.net

Komanda e dytë është ajo e rëndësishmja. Rreshti i statusit dhe seksioni i autoritetit emërtojnë zonën që prodhoi përgjigjen, kështu që mund të dalloni një përgjigje negative nga zona private nga një timeout, një port i bllokuar ose një resolver që nuk e mori kurrë kërkesën. resolvectl tregon cili server i sipërm u pyet, dhe shpesh nuk është resolver-i që supozuat se VPN-ja e dërgoi.

Nëse kërkesa e gjurmuar kthen adresën publike dhe ajo normale jo, regjistrimi publik është i paprekur dhe përgjigjet pamja private. Pikërisht ky krahasim i vetëm vendos cila gjysmë e pjesës tjetër të kësaj faqe vlen për ju.

Lexoni cila zonë u përgjigj

Një përgjigje që mbart NXDOMAIN me SOA-n e zonës private në seksionin e autoritetit është përgjigje përfundimtare e asaj zone, jo një kërkim i dështuar. Route 53 Resolver zgjodhi zonën e hostuar private sepse emri përputhej, pastaj nuk gjeti asnjë regjistrim të llojit të kërkuar, dhe sjellja e dokumentuar është të kthejë përgjigjen negative në vend që ta përcjellë pyetjen te DNS publik.

Zgjedhja ndjek specifikën. Kur disa hapësira emrash private mbivendosen, fiton zona përputhëse më specifike, dhe një prind privat më i gjerë nuk merr një shans të dytë për një emër që zona fëmijë e zgjedhur nuk e ka. Rregullat e përcjelljes shtojnë një shtresë tjetër, sepse një rregull Resolver specifik për domenin mund të mundë lidhjen e zonës së hostuar private. Listoni lidhjet dhe rregullat përpara se të përfundoni se një zonë është bosh.

aws route53 list-hosted-zones-by-name --dns-name example.net.
aws route53 list-resource-record-sets --hosted-zone-id Z0EXAMPLEID --query "ResourceRecordSets[?Type=='A'].[Name,ResourceRecords[0].Value]"

Të dy komandat kërkojnë kredenciale për llogarinë që zotëron zonën, dhe e dyta kërkon ID-në e zonës nga e para. Zëvendësojeni me tuajin; mbajtësi i vendit më sipër nuk është i vërtetë me qëllim.

Pse fiton zona private

Lidhja është ajo që e bën zonën të dukshme për një VPC, dhe resolver-i në atë VPC e zbaton atë. Një zonë private që nuk është e lidhur me VPC-në nga vjen trafiku i klientit nuk ka asnjë efekt, ndërsa një lidhje me VPC-në e gabuar prodhon një përgjigje private për popullatën e gabuar. Kontrolloni listën e lidhjeve përpara se të redaktoni regjistrime, sepse një zonë mund të jetë e saktë dhe prapë e padukshme.

Hapësirat e emrave që mbivendosen janë burimi i dytë i konfuzionit. Një zonë private për example.net dhe një zonë private për api.example.net të dyja përputhen me një kërkesë API, dhe përgjigjet më specifika. Kjo është e dobishme kur doni një hapësirë të ngushtë emrash të brendshme, dhe e rrezikshme kur zonës së ngushtë i mungon një regjistrim që e ka më e gjera. Konsideratat për zonat e hostuara private në dokumentacionin e Route 53 përshkruajnë si sjelljen e rënies ashtu edhe përparësinë e rregullave, dhe ia vlen t'i lexoni përpara se të shtoni një zonë të dytë që mbivendoset.

Asgjë nga kjo nuk e ndryshon zonën publike. Resolver-ët publikë vazhdojnë t'u përgjigjen saktë regjistrimeve publike, dhe për këtë arsye për të gjithë jashtë VPC-së dështimi duket si problem i klientit.

Zgjidhni hapësirën e emrave përpara se të shtoni regjistrime

Nëse vetëm një familje e re shërbimesh të brendshme ka nevojë për emra privatë, jepini një nëndomain privat të dedikuar dhe lini prindin publik të qetë. Një emër si internal.example.net nuk mund të hijeshojë www.example.net, dhe rrezja e ndikimit të një regjistrimi që mungon kufizohet te emrat që shpikët për këtë qëllim. Çmimi është që URL-të dhe certifikatat ekzistuese mund të mos përputhen me emrin e ri.

Kur përdoruesit publikë dhe privatë duhet të mbajnë të njëjtin emër hosti, DNS me pamje të ndarë është dizajni i mbështetur dhe kërkon që t'i mbani regjistrimet në çdo pamje në mënyrë eksplicite. Një zonë private e gjerë me një regjistrim nuk i ruan varësitë publike nën atë zonë; i zëvendëson ato me një zonë që ka një regjistrim.

Inventarizoni emrat që një aplikacion thërret vërtet përpara se ta drejtoni një popullatë klientësh te pamja private. Hostet e hyrjes, hostet e aseteve statike, objektivat e ridrejtimit dhe pikat fundore API janë ata që thyhen të parët, dhe zakonisht janë të shpërndarë nëpër regjistrimet e disa ekipeve.

Ndiqni rrugën e resolver-it, pastaj rrugën

Një laptop e sheh pamjen private vetëm nëse kërkesat e tij arrijnë te resolver-i që ka lidhjen. Redaktimi i një skedari hosts në serverin VPN nuk publikon asgjë për klientët e lidhur, dhe një klient i konfiguruar me një resolver publik do të vazhdojë të marrë përgjigje publike sa kohë tuneli është lart. Konfirmoni adresën e resolver-it që mori klienti, pastaj përsëriteni kërkesën nga klienti dhe jo nga serveri.

Pasi emri zgjidhet, provoni rrugën drejt adresës së kthyer si hap të veçantë, për shembull me ip route get kundrejt adresës që ktheu kërkesa. Një përgjigje private e saktë pa rrugë drejt adresës është problem rrugëtimi, dhe një përgjigje për një regjistrim që mungon është problem i pamjes DNS; trajtimi i tyre si një problem i vetëm prodhon rregullime që nuk qëndrojnë. Lërini kontrollet e emrit të hostit TLS dhe të certifikatës së shërbimit të pandryshuara, sepse një adresë private ndryshon ku shkon lidhja dhe asgjë rreth asaj se cila certifikatë është e vlefshme.

Përfundoni duke shënuar në shënimin e ndryshimit zonën, lidhjen, resolver-in dhe emrat që verifikuat. Atëherë personi tjetër që shton një regjistrim do të dijë cila hapësirë emrash është autoritative për atë popullatë klientësh.