Rekursioni nuk ofrohet: një politikë DNS, jo një tunel i prishur

Emri i brendshëm zgjidhet, dhe i njëjti server përgjigjet për një emër të jashtëm me një refuzim rreth rekursionit. Ky kombinim nuk është kontradiktë. Publikimi i zonave të veta dhe zgjidhja e të gjithë internetit janë dy shërbime të ndara që një server mund të ofrojë, dhe ai mund të bëjë të parën pa të dytën. Trajto refuzimin si një deklaratë politike, pastaj kontrollo nëse politika përputhet me projektimin.

Refuzimi dhe skadimi i kohës janë përgjigje të ndryshme

Shëno emrin, llojin e kërkesës, serverin që përgjigjet, statusin dhe regjistrimet e kthyera. Një paralajmërim rekursioni nuk e zhvleftëson automatikisht një përgjigje autoritare që erdhi me të. Shkruaj statusin përpara se ta interpretosh. Një status i rindërtuar nga kujtesa një orë më vonë është një fakt tjetër.

Titulli DNS mban një kërkesë për rekursion dhe një tregues nëse serveri e ofron, dhe specifikimi i protokollit i mban ato flamuj të ndarë nga të dhënat e përgjigjes. Prandaj një përgjigje mund të jetë e dobishme dhe gjithsesi të mbajë një ankesë. Skadimi i kohës, një përgjigje negative dhe një refuzim janë tre rezultate të ndryshme. Secili tregon një shtresë tjetër, dhe vetëm refuzimi është serveri që të flet për politikë.

Lexo fillimisht kodin e statusit, pastaj vendos nëse paralajmërimi ka rëndësi për këtë kërkesë. Një përgjigje autoritare që emërton zonën është e përdorshme edhe kur biti rekursiv refuzohet. Një refuzim pa përgjigje është rezultat politike, jo një rrugë paketash e prishur.

Çfarë regjistroi zgjidhësi si burimin tënd

Klienti mund të vijë nga një pishinë adresash jashtë intervalit të lejuar rekursiv të serverit, ose një përkthim mund ta bëjë të duket si portë. Adresa e vetë përshtatësit të klientit nuk është provë për atë që mori zgjidhësi. Pyet administratorin e serverit për burimin e vëzhguar në vend që ta nxjerrësh nga ana jote e rrugës. Dy adresat mund të ndryshojnë në çdo hop që përkthen.

Pyet të njëjtin emër nga klienti dhe nga një host që serveri tashmë i beson. Ndryshimi midis dy përgjigjeve është kushti i burimit, dhe është më i dobishëm se secila përgjigje veç e veç.

dig +short host.corp.example
dig +short example.com

Nëse vendosja dëshiron rekursion për klientët VPN, administratori autorizon intervalin e duhur të burimit përmes kontrolleve të vetë serverit. Hapja e rekursionit për çdo rrjet që të kalojë një provë është një ndryshim shumë më i madh se ai që po testohet. Shkruaj intervalin e autorizuar pranë rregullit, sepse rishikuesi i ardhshëm do të pyesë cilat burime politika duhej të shërbente. Një interval burimi pa pronar është mënyra se si një provë e përkohshme bëhet e përhershme.

DNS i ndarë është projektim, jo defekt

Disa vendosje dërgojnë vetëm domenet e punës te zgjidhësi privat dhe gjithçka tjetër te një zgjidhës tjetër i miratuar. Ky është një projektim i drejtimit të kërkesave, dhe nuk është provë që serveri privat ka nevojë për një politikë më të lirshme. Në atë projektim, një emër i jashtëm që dështon përmes zgjidhësit privat është rezultati i synuar dhe jo një defekt. Refuzimi është projektimi që funksionon, jo një simptom për t'u shtypur.

Një zgjidhës publik mund të rikthejë shfletimin duke thyer emrat e brendshëm ose duke dërguar kërkesa private atje ku nuk duhet të shkojnë. Shkruaj sjelljen e synuar përpara se të ndryshosh çdo adresë zgjidhësi.

Verifiko politikën me dy kërkesa

Pas korrigjimit të synuar, pyet një emër privat të lejuar dhe një emër të jashtëm nga klienti real. Ajo që kthehet duhet të jetë ajo që premton politika, jo thjesht një diagnostikim më i qetë. Shëno serverin që përgjigjet me çdo përgjigje, pastaj krahaso çiftin me politikën. Krahasimi është testi, dhe një kërkim i suksesshëm nuk është.

resolvectl query host.corp.example
resolvectl query example.com

Nëse emri privat funksionon dhe emri publik refuzohet, politika bën atë që thotë. Nëse edhe emri privat dështon, problemi është zona, rruga ose autorizimi i burimit, dhe rekursioni është shpërqendrim. Të dy rezultatet janë të dobishme, dhe secili përjashton gjysmën e hipotezave që mbeten.

Lexo refuzimin si provë

Një refuzim është përgjigje. Do të thotë që serveri e mori kërkesën dhe refuzoi të kryejë punën e kërkuar, gjë që ndryshon nga një paketë që nuk mbërriti kurrë. Ky dallim është i gjithë diagnoza. Regjistroje si përgjigje, jo si dështim lidhjeje.

Ky dallim të tregon ku të shohësh: regjistrat e serverit, politikën e tij të aksesit dhe burimin që regjistroi. Një ndryshim i murit të zjarrit nuk mund të rregullojë një refuzim politike, dhe një ndryshim politike nuk mund të rregullojë një rrugë që mungon. Mbaji dy hipotezat të ndara derisa njëra prej tyre të ketë provë.

Shkruaj rezultatin dhe pronarin e politikës në biletë, që personi tjetër të nisë nga vendimi dhe jo nga paralajmërimi. Përmend intervalin e autorizuar të burimit dhe dy emrat që testove. Një biletë me këto tre fakte mund të ekzekutohet përsëri; një që thotë "rekursioni është i prishur" nuk mundet.