Kwa nini kanda ya faragha ya Route 53 hurudisha NXDOMAIN kwa majina ya umma

Kanda za faragha za Route 53 hubadilisha jibu la jina badala ya kuunganishwa na rekodi ya umma, na hilo huwashangaza watu wakati mbaya zaidi. Ongeza rekodi moja ya ndani kwa api.example.net katika kanda ya faragha kwa example.net, iunganishe na VPC, na kila jina lingine chini ya mzazi huyo sasa hujibiwa tu kutoka kanda ya faragha. Mteja ambaye jana aliweza kufikia www.example.net leo anapata jibu hasi. Mwongozo ulio hapa chini huanza na swali hilo lililoshindwa na kwenda nje kuelekea kanda iliyolijibu.

Anza na swali, sio konsoli

Rudia hitilafu kwa mteja aliyeripoti, na uandike jina kamili na aina ya rekodi. Jina ambalo linashindikana kwa A bado linaweza kutatuliwa kwa AAAA, na kivinjari kinachojaribu tena jina lililohifadhiwa kwenye kache huficha lipi kati ya hayo mawili limevunjika. Endesha swali mara mbili: mara moja kupitia resolver ambayo mteja hutumia kwa kweli, na mara moja na ufuatiliaji unaoipita.

dig +short api.example.net
dig www.example.net +noall +comments +authority
resolvectl query www.example.net

Amri ya pili ndiyo muhimu. Mstari wake wa hali na sehemu ya mamlaka hutaja kanda iliyozalisha jibu, kwa hivyo unaweza kutofautisha jibu hasi kutoka kanda ya faragha na muda kuisha, bandari iliyozuiwa au resolver ambayo haikupokea swali kamwe. resolvectl huonyesha ni seva ipi ya juu iliulizwa, na mara nyingi si resolver ambayo ulidhani VPN ilituma.

Ikiwa swali lililofuatiliwa hurudisha anwani ya umma na la kawaida halirudishi, rekodi ya umma iko sawa na mwonekano wa faragha ndio unajibu. Ulinganisho huo mmoja huamua nusu ipi ya sehemu iliyobaki ya ukurasa huu inakuhusu.

Soma ni kanda ipi ilijibu

Jibu linalobeba NXDOMAIN likiwa na SOA ya kanda ya faragha katika sehemu ya mamlaka ni jibu la mwisho kutoka kanda hiyo, si utafutaji ulioshindwa. Route 53 Resolver ilichagua kanda iliyohifadhiwa ya faragha kwa sababu jina liliendana, kisha haikupata rekodi ya aina iliyoombwa, na tabia iliyoandikwa ni kurudisha jibu hasi badala ya kupeleka swali kwa DNS ya umma.

Uchaguzi hufuata umahususi. Wakati nafasi kadhaa za majina za faragha zinapishana, kanda inayolingana mahususi zaidi hushinda, na mzazi mpana wa faragha hapati nafasi ya pili kwa jina ambalo kanda ndogo iliyochaguliwa haina. Sheria za upelekaji huongeza tabaka lingine, kwa sababu sheria ya Resolver mahususi kwa kikoa inaweza kushinda uhusiano wa kanda iliyohifadhiwa ya faragha. Orodhesha uhusiano na sheria kabla ya kuhitimisha kuwa kanda ni tupu.

aws route53 list-hosted-zones-by-name --dns-name example.net.
aws route53 list-resource-record-sets --hosted-zone-id Z0EXAMPLEID --query "ResourceRecordSets[?Type=='A'].[Name,ResourceRecords[0].Value]"

Amri zote mbili zinahitaji vitambulisho vya akaunti inayomiliki kanda, na ya pili inahitaji ID ya kanda kutoka ya kwanza. Badilisha kwa ID yako mwenyewe; kishika nafasi kilicho juu si cha kweli kwa makusudi.

Kwa nini kanda ya faragha hushinda

Uhusiano ndio unaofanya kanda ionekane kwa VPC, na resolver iliyo ndani ya VPC hiyo ndiyo inautumia. Kanda ya faragha ambayo haijaunganishwa na VPC ambayo trafiki ya mteja hutoka haina athari yoyote, wakati uhusiano na VPC isiyo sahihi huzalisha jibu la faragha kwa idadi isiyo sahihi. Angalia orodha ya uhusiano kabla ya kuhariri rekodi, kwa sababu kanda inaweza kuwa sahihi na bado isionekane.

Nafasi za majina zinazopishana ni chanzo cha pili cha mkanganyiko. Kanda ya faragha kwa example.net na kanda ya faragha kwa api.example.net zote mbili zinaendana na swali la API, na ile mahususi zaidi hujibu. Hilo ni muhimu unapotaka nafasi nyembamba ya majina ya ndani, na ni hatari wakati kanda nyembamba inakosa rekodi ambayo pana zaidi inayo. Mazingatio ya kanda zilizohifadhiwa za faragha katika nyaraka za Route 53 yanaelezea tabia ya kuanguka chini na kipaumbele cha sheria, na yanafaa kusomwa kabla ya kuongeza kanda ya pili inayopishana.

Hakuna kati ya haya hubadilisha kanda ya umma. Resolver za umma bado hujibu rekodi za umma kwa usahihi, na ndiyo sababu hitilafu hii inaonekana kama tatizo la mteja kwa kila mtu nje ya VPC.

Chagua nafasi ya majina kabla ya kuongeza rekodi

Ikiwa ni familia mpya ya huduma za ndani pekee inayohitaji majina ya faragha, ipe kikoa kidogo cha faragha maalum na uache mzazi wa umma. Jina kama internal.example.net haliwezi kufunika www.example.net, na eneo la athari la rekodi inayokosekana ni dogo tu kwa majina uliyobuni kwa ajili hiyo. Gharama ni kwamba URL na vyeti vilivyopo vinaweza visiendane na jina jipya.

Wakati watumiaji wa umma na wa faragha wanapaswa kubaki na jina moja la mwenyeji, DNS ya mwonekano uliogawanywa ndio muundo unaoungwa mkono na inahitaji uhifadhi rekodi katika kila mwonekano kwa uwazi. Kanda pana ya faragha iliyo na rekodi moja haihifadhi tegemezi za umma chini ya kanda hiyo; inazibadilisha na kanda iliyo na rekodi moja.

Orodhesha majina ambayo programu huita kwa kweli kabla ya kuelekeza idadi ya wateja kwenye mwonekano wa faragha. Wenyeji wa kuingia, wenyeji wa rasilimali zisizobadilika, malengo ya uelekezaji upya na vituo vya mwisho vya API ndio huvunjika kwanza, na kwa kawaida vimetawanyika kwenye rekodi za timu kadhaa.

Fuatilia njia ya resolver, kisha njia ya mtandao

Kompyuta ya mkononi huona mwonekano wa faragha ikiwa tu maswali yake yanafikia resolver iliyo na uhusiano. Kuhariri faili ya hosts kwenye seva ya VPN hakuchapishi chochote kwa wateja waliounganishwa, na mteja aliyesanidiwa na resolver ya umma ataendelea kupata majibu ya umma wakati handaki iko juu. Thibitisha anwani ya resolver ambayo mteja alipokea, kisha rudia swali kutoka kwa mteja badala ya kutoka kwa seva.

Jina linapotatuliwa, jaribu njia hadi anwani iliyorudishwa kama hatua tofauti, kwa mfano kwa ip route get dhidi ya anwani ambayo swali lilirudisha. Jibu sahihi la faragha bila njia hadi anwani ni tatizo la uelekezaji, na jibu la rekodi inayokosekana ni tatizo la mwonekano wa DNS; kuzichukulia kama tatizo moja hutoa marekebisho yasiyodumu. Acha ukaguzi wa jina la mwenyeji la TLS na cheti cha huduma bila kubadilika, kwa sababu anwani ya faragha hubadilisha mahali muunganisho unakwenda na si kitu kuhusu cheti kipi ni halali.

Maliza kwa kuandika kanda, uhusiano, resolver na majina uliyothibitisha kwenye dokezo la mabadiliko. Hapo mtu anayefuata kuongeza rekodi atajua ni nafasi ipi ya majina iliyo na mamlaka kwa idadi hiyo ya wateja.