Погрешан DNS преко VPN-а? Један ауторитативни сервер може бити застарео

Повежите VPN и једно име домаћина се разрешава на јучерашњу адресу, или на ништа. Искључите и поново ради. Рефлекс је да кривимо резолвер који је тунел наметнуо, али чешћи узрок је објављени сервер имена који је престао да прима ажурирања зоне. Нова путања је једноставно стигла до другог ауторитета од оног из којег је дошао ваш кеширани одговор.

Симптом се мења са резолвером

Рекурзивни резолвер враћа оно што му је ауторитет рекао, а затим тај одговор држи током TTL-а. Ако тунел наметне други резолвер, или промени путању тако да стари више није доступан, клијент пита други ауторитет и добија други одговор. Домен се у том тренутку није променио; променио се ваш поглед на њега.

Зато исто име може да ради у једној канцеларији, а да не успе из хотела, и зато чишћење локалног кеша помаже само понекад. Чишћење кеша поново шаље питање истом ауторитету.

Разликујући тест је директан упит ка сваком објављеном серверу.

Питајте сваки ауторитет директно

Почните од делегације, а не од списка који памтите. Питајте родитеља за скуп NS, затим питајте свако име из тог скупа за запис који вам је потребан. Два упита за исто име на различитим ауторитетима одмах показују да ли је зона конзистентна.

dig +short NS example.com
dig @ns1.dns.example app.example.com A
dig @ns2.dns.example app.example.com A

Урадите исто за NS записе на врху зоне, јер делегација родитеља и сопствени NS скуп зоне могу да се разликују после миграције. Серијски бројеви у SOA су следеће што треба упоредити, а секундарни сервер који је много иза је проблем преноса, а не одговора.

Извршите те упите из мреже која не успева, не само са свог стола.

Одвојте намерне погледе од покварених

Неки домени намерно одговарају другачије по региону или групи резолвера, а поставке са подељеним хоризонтом су нормалне у корпоративним мрежама.

Питање је да ли је разлика документована и стабилна. Ненамеран поглед изгледа другачије: један ауторитет има запис који остали никада нису добили, или му недостаје онај који сви деле. Упутство RFC 2182 за избор и распоређивање третира ауторитативну доступност као заједничку одговорност, и то је овде исправан оквир. Резерва постоји само ако сваки објављени сервер може да одговори намерним подацима, а не само да прихвати везу на порту 53.

Сервер који одговара SERVFAIL лакше је дијагностиковати од оног који одговара самоуверено и погрешно.

Миграција открива шта је кеш скривао

Приликом премештања провајдера мењају се две ауторитативне локације: делегација родитеља и сопствени NS записи зоне. Обе морају да се ажурирају, и обе се кеширају током својих TTL-ова. Ако стари сервер остане укључен и настави да служи претходну зону, клијенти чији га резолвери питају наставиће да добијају стари одговор дуго после тога што је прелаз изгледао завршен.

Управо то стање скрива дуготрајни кеш. Радна станица која је радила целу недељу разговарала је са резолвером који је држао свеж одговор од новог ауторитета, док је стари наставио да дели застареле податке свима осталима.

Промена резолвера на преносном рачунару поправља тај рачунар и ништа друго.

Поправите зону, не резолвер

Утврдите који сервери треба да буду ауторитативни за зону, исправите управљану зону или делегацију тако да сваки од њих служи намерне податке, и задржите резерву коју сте планирали. Брисање сервера имена зато што је један излаз VPN-а добио чудан одговор смањује доступност и оставља недоследност на месту.

Затим поново извршите директне упите из обе мреже и сачекајте да истекне TTL записа који сте променили.

Потврдите да је одговор стабилан од сваког ауторитета, и запишите намерни поглед у документацију зоне да би следећа разлика била лако класификована.