Rekursion är inte tillgänglig: en DNS-policy, inte en trasig tunnel

Det interna namnet löses upp, och samma server svarar på ett externt namn med en avvisning om rekursion. Den kombinationen är ingen motsägelse. Att publicera egna zoner och att lösa upp hela internet är två separata tjänster som en server kan erbjuda, och den kan göra det första utan det andra. Behandla avvisningen som en policydeklaration och kontrollera sedan om policyn passar designen.

En avvisning och en tidsgräns är olika svar

Anteckna namnet, frågetypen, den svarande servern, statusen och posterna som kom tillbaka. En rekursionsvarning ogiltigförklarar inte automatiskt ett auktoritativt svar som kom med den. Skriv ned statusen innan du tolkar den. En status som rekonstrueras ur minnet en timme senare är ett annat faktum.

DNS-huvudet bär en begäran om rekursion och en indikation på om servern erbjuder den, och protokollspecifikationen håller dessa flaggor åtskilda från svarsdata. Därför kan ett svar vara användbart och ändå bära en klagomål. En tidsgräns, ett negativt svar och en avvisning är tre olika resultat. Varje pekar på ett annat lager, och bara avvisningen är servern som berättar om policy.

Läs statuskoden först och avgör sedan om varningen spelar roll för den här frågan. Ett auktoritativt svar som namnger zonen är användbart även när rekursionsbiten avvisas. En avvisning utan svar är ett policyresultat, inte en trasig paketväg.

Vad resolvern registrerade som din källa

Klienten kan komma från en adresspool utanför serverns tillåtna rekursiva intervall, eller en översättning kan få den att se ut som en gateway. Klientens egen adapteradress är inte bevis för vad resolvern tog emot. Fråga serverns administratör om den observerade källan i stället för att härleda den från din sida av vägen. De två adresserna kan skilja sig vid varje hopp som översätter.

Fråga efter samma namn från klienten och från en värd som servern redan litar på. Skillnaden mellan de två svaren är källvillkoret, och det är mer användbart än vart och ett av svaren för sig.

dig +short host.corp.example
dig +short example.com

Om utrullningen vill ha rekursion för VPN-klienter auktoriserar administratören det lämpliga källintervallet genom serverns egna kontroller. Att öppna rekursion för varje nätverk så att ett test går igenom är en mycket större ändring än den som testas. Skriv det auktoriserade intervallet bredvid regeln, för nästa granskare kommer att fråga vilka källor policyn skulle betjäna. Ett källintervall utan ägare är hur ett tillfälligt test blir permanent.

Delad DNS är en design, inte ett fel

Vissa utrullningar skickar bara arbetsdomänerna till den privata resolvern och allt annat till en annan godkänd resolver. Det är en design för frågeroutning, och det är inte bevis för att den privata servern behöver en lösare policy. Under den designen är ett externt namn som misslyckas via den privata resolvern det avsedda resultatet och inte ett fel. Avvisningen är designen som fungerar, inte ett symptom som ska dämpas.

En offentlig resolver kan återställa surfandet medan den bryter interna namn eller skickar privata frågor dit de inte hör hemma. Skriv ned det avsedda beteendet innan du ändrar någon resolveradress.

Verifiera policyn med två frågor

Efter den avsedda korrigeringen, fråga efter ett tillåtet privat namn och ett externt namn från den faktiska klienten. Det som kommer tillbaka bör vara det policyn lovar, inte bara en tystare diagnostik. Anteckna den svarande servern vid varje svar och jämför sedan paret med policyn. Jämförelsen är testet, och ett enda lyckat uppslag är det inte.

resolvectl query host.corp.example
resolvectl query example.com

Om det privata namnet fungerar och det offentliga namnet avvisas gör policyn det den säger. Om det privata namnet också misslyckas är problemet zonen, rutten eller källauktorisationen, och rekursion är en avledning. Båda utfallen är användbara, och vart och ett utesluter hälften av de återstående hypoteserna.

Läs avvisningen som bevis

En avvisning är ett svar. Det betyder att servern tog emot frågan och vägrade utföra det begärda arbetet, vilket skiljer sig från ett paket som aldrig kom fram. Den skillnaden är hela diagnosen. Logga den som ett svar, inte som ett anslutningsfel.

Den skillnaden berättar var du ska titta: i serverns loggar, dess åtkomstpolicy och den källa den registrerade. En brandväggsändring kan inte åtgärda en policyavvisning, och en policyändring kan inte åtgärda en saknad rutt. Håll de två hypoteserna åtskilda tills en av dem har bevis.

Skriv utfallet och policyns ägare i ärendet, så att nästa person börjar vid beslutet och inte vid varningen. Namnge det auktoriserade källintervallet och de två namn du testade. Ett ärende med dessa tre fakta kan köras igen; ett som säger "rekursion är trasig" kan inte.