NXDOMAIN преко VPN-а не значи прекид тунела

Примамљиво је један неуспео упит прочитати као доказ да се тунел срушио, посебно кад је име радило десет минута раније. Одговор говори другачије. NXDOMAIN је завршена DNS трансакција у којој је резолвер навео да тражено име не постоји; покварен тунел обично производи тишину, истек времена или покушај разрешавања према погрешном серверу. Верзија аргумента без wireshark-а је један упит, један саговорник и један код одговора, а ту тројку вреди забележити пре било каквих промена конфигурације.

Шта одговор заправо доказује

DNS раздваја исходе које клијенти често стапају у један неуспех. Име које не постоји даје негативан одговор с кодом NXDOMAIN, док име које постоји али нема запис тражене врсте даје успешан одговор с празним одељком одговора. Обоје апликацији изгледа као ништа корисно, а само једно од тога значи да је име погрешно.

Та разлика одлучује где поправка припада. Запис AAAA који недостаје на хосту који има запис A није хост који недостаје, а поновно издавање сертификата или поновна изградња тунела да би се то ловило троши једини доступни траг. Разлика одређује и облик наставка: проблем именовања поправља се у зони, а проблем врсте поправља се тражењем исправног записа или прихватањем да породица адреса једноставно није присутна.

Мит: недостајуће приватно име значи да је тунел заказао

Мит преживљава јер та два догађаја тако често долазе заједно. Клијент се повезује на VPN, оперативни систем задржава резолвер коме је већ веровао, а интерно име које му сада треба пита се сервер који никада није чуо за приватну зону. Тај сервер одговара искрено и негативно. Тунел носи пакет; одговор је једноставно о простору имена који саговорник не опслужује.

Split-horizon поставке то чине рутинским: исто име зоне постоји јавно и интерно с различитим садржајем, а приватне записе зна само интерни резолвер. Зато је добијање негативног одговора који изгледа меродавно доказ о томе који је резолвер одговорио, а не доказ о стању интерфејса.

Два детаља конфигурације одлучују исход. Тунел мора да прогура или изабере интерни резолвер, а клијент мора да примени тај избор на име које се тражи. Правило по домену које именује суфикс мало другачији од записа који сте уписали послаће упит јавним путем, а одговор ће бити тачан и бескористан.

Питајте прави резолвер с правим именом

Забележите саговорника пре него што забележите пресуду. Упит који не показује који је сервер одговорио не може да разликује проблем политике од проблема простора имена, а њихове поправке су неповезане.

resolvectl query vpn.internal.example
resolvectl status | grep -A3 'DNS Servers'
dig +search app.intranet.example A
dig @10.8.0.1 app.intranet.example A

Прва два реда показују шта је локални резолвер одлучио и кога би питао. Упит +search репродукује шта апликација ради кад дода суфикс за претрагу, што је често прави упит, а не онај унет у дијагностички алат. Последњи ред пита интерни сервер директно, заобилазећи клијентску политику; ако то успе док обичан упит не успева, зона је у реду, а усмеравање упита није.

Негативно кеширање објашњава кашњење после поправке

Негативни одговори се кеширају по дизајну, а RFC 2308 описује како се животни век негативног кеша изводи из записа ауторитета зоне. Исправљање записа или правила резолвера стога не гарантује тренутну промену на клијенту, а понављање упита који стално враћа кеширани одговор не доказује ништа ново. Само други саговорник, друго име или очишћен кеш даје свеже доказе.

Очистите локални кеш, затим поновите исти упит према истом саговорнику. На системима с локалном услугом резолвера то је једна наредба; на другима је то поновно покретање услуге или платформски алат, а конкретан алат је мање важан од понављања идентичног теста после тога.

Одвојте име од пута

Кад се име разреши на очекивану приватну адресу, DNS је као тема завршен и следеће питање постаје пут апликације. Хост који одговара на упите али одбија везу има други проблем, а наставак подешавања резолвера после тачног одговора начин је на који инцидент добије три неповезане промене. Упоредите разрешену адресу с оном на којој услуга стварно слуша пре него што претпоставите да се две слажу.

Сачувајте запис: упит, саговорник, код и разрешену адресу. Тај запис је и оно што чини каснији извештај проверљивим, и то је разлика између дијагнозе и приче о тунелу који се чинио спорим.