Рекурзија није доступна: DNS политика, а не покварен тунел

Интерно име се разрешава, а исти сервер одговара на спољно име одбијањем због рекурзије. Та комбинација није противречност. Објављивање сопствених зона и разрешавање целог интернета две су оделите услуге које сервер може нудити, и може обављати прву без друге. Третирајте одбијање као изјаву о политици, па проверите да ли политика одговара пројекту.

Одбијање и истек времена два су различита одговора

Запишите име, тип упита, сервер који одговара, статус и враћене записе. Упозорење о рекурзији не поништава аутоматски ауторитативни одговор који је стигао са њим. Запишите статус пре него што га протумачите. Статус реконструисан из сећања сат касније је друга чињеница.

Заглавље DNS-а носи захтев за рекурзију и назнаку нуди ли је сервер, а спецификација протокола држи те заставице одвојено од података одговора. Зато одговор може бити користан и носити притужбу. Истек времена, негативан одговор и одбијање три су различита исхода. Сваки указује на други слој, и само је одбијање сервер који вам говори о политици.

Прво прочитајте статусни код, па одлучите да ли је упозорење важно за овај упит. Ауторитативни одговор који именује зону употребљив је чак и кад је рекурзивни бит одбијен. Одбијање без одговора резултат је политике, а не покварен пут пакета.

Шта је разрешивач забележио као ваш извор

Клијент може долазити из скупа адреса изван дозвољених рекурзивних опсега сервера, или га превод може учинити сличним мрежном пролазу. Сопствена адреса адаптера клијента није доказ о томе шта је разрешивач примио. Питајте администратора сервера за запажени извор уместо да га изводите са своје стране пута. Две адресе могу се разликовати на сваком скоку који преводи.

Упитајте исто име са клијента и са хоста коме сервер већ верује. Разлика између два одговора је стање извора, и кориснија је од било ког одговора самог.

dig +short host.corp.example
dig +short example.com

Ако примена жели рекурзију за VPN клијенте, администратор овлашћује одговарајући опсег извора кроз сопствене контроле сервера. Отварање рекурзије према свакој мрежи да би један тест прошао много је већа промена од оне која се тестира. Запишите овлашћени опсег уз правило, јер ће следећи рецензент питати којим је изворима политика требало да служи. Опсег извора без власника начин је на који привремени тест постаје трајан.

Подељени DNS је пројекат, а не квар

Неке примене шаљу само радне домене приватном разрешивачу, а све остало другом одобреном разрешивачу. То је пројекат усмеравања упита и није доказ да приватном серверу треба лабавија политика. У том пројекту спољно име које не успе кроз приватни разрешивач јесте намеравани исход, а не квар. Одбијање је пројекат који ради, а не симптом који треба потиснути.

Јавни разрешивач може вратити прегледање, а притом покварити интерна имена или послати приватне упите тамо где не смеју ићи. Запишите намеравано понашање пре него што промените било коју адресу разрешивача.

Проверите политику са два упита

Након намераване исправке упитајте дозвољено приватно име и спољно име са стварног клијента. Оно што се врати треба да буде оно што политика обећава, а не само тиша дијагностика. Запишите сервер који одговара уз сваки одговор, па упоредите пар са политиком. Поређење је тест, а једно успешно тражење није.

resolvectl query host.corp.example
resolvectl query example.com

Ако приватно име ради, а јавно је име одбијено, политика ради оно што каже. Ако и приватно име не успе, проблем је у зони, рути или овлашћењу извора, а рекурзија је одвраћање пажње. Оба исхода су корисна, и сваки искључује половину преосталих хипотеза.

Читајте одбијање као доказ

Одбијање је одговор. Значи да је сервер примио упит и одбио да обави тражени посао, што се разликује од пакета који никада није стигао. Та разлика је цела дијагноза. Забележите је као одговор, а не као квар повезаности.

Та разлика вам каже где да гледате: у евиденцијама сервера, његовој политици приступа и извору који је забележио. Промена заштитног зида не може исправити одбијање политике, а промена политике не може исправити руту која недостаје. Држите две хипотезе одвојено док једна од њих не добије доказ.

Запишите исход и власника политике у тикет, да следећа особа почне од одлуке, а не од упозорења. Наведите овлашћени опсег извора и два имена која сте тестирали. Тикет са те три чињенице може се поново покренути; онај који каже "рекурзија је покварена" не може.