தனியுரிம DNS VPC-யில் வேலை செய்கிறது ஆனால் VPN-ல் இல்லை
EC2-க்குள் தீர்க்கப்படும் ஆனால் VPN-ல் தீர்க்கப்படாத தனியுரிம பெயர் resolver பாதையின் சிக்கல். மண்டலப் பதிவைத் திருத்தும் முன் தோல்வியின் வடிவத்தைப் படியுங்கள்.
ஒரு தனியுரிம பெயர் EC2 நிகழ்விலிருந்து தீர்க்கப்படுகிறது ஆனால் VPN வழியாக இணைக்கப்பட்ட மடிக்கணினியிலிருந்து தீர்க்கப்படவில்லை, மேலும் மண்டலம் கன்சோலில் சரியாகத் தெரிகிறது. முதல் உந்துதல் பதிவைத் திருத்துவது, அது ஏறக்குறைய ஒருபோதும் சிக்கலாக இல்லை. பதிவு யாருக்கோ பதில் சொல்கிறது; உங்கள் மடிக்கணினிக்கு மட்டும் பதில் சொல்லவில்லை. இரண்டு அழைப்பாளர்களுக்கு இடையிலான வேறுபாடு அவர்கள் எந்த resolver-ஐக் கேட்கிறார்கள், அந்த resolver-க்கு VPC-யின் DNS பார்வைக்கு ஆதரவான பாதை உள்ளதா என்பதே.
பதிவு உள்ளது என்பதை நிரூபித்து தொடங்குகிறேன், மீதி நேரத்தை வினவல் பாதையில் செலவிடுகிறேன். இவை தனித்தனி அமைப்புகள், வெவ்வேறு வழிகளில் தோல்வியடைகின்றன.
எதையும் மாற்றும் முன் தோல்வியின் வடிவத்தைப் படியுங்கள்
மூன்று முடிவுகள் மூன்று வெவ்வேறு விஷயங்களைக் குறிக்கின்றன, ஒரு வினவல் அவற்றைப் பிரிக்கிறது: வாடிக்கையாளர் உண்மையில் பயன்படுத்தும் resolver-க்கு எதிராக பெயருக்கான dig-ஐ இயக்குங்கள்.
| What you see | What it usually means | First thing to check |
|---|---|---|
| SERVFAIL, or a timeout after several seconds | No path to the resolver, or the resolver cannot reach AWS | Route to the endpoint and the security policy on port 53 |
| NXDOMAIN from a resolver that did answer | The resolver replied, but the zone is not in its view | Zone association or the forwarding rule for that namespace |
| A public address for an internal name | Split DNS is not in effect for this client | Which resolver the client is configured to use |
நேரம் முடிவது வலையமைப்பு பற்றிய கூற்று. NXDOMAIN என்பது DNS பார்வை பற்றிய கூற்று. பொது பதில் கொள்கை பற்றிய கூற்று. நேரம் முடிந்திருக்கும்போது மண்டலப் பதிவைத் திருத்துவது வழக்கின் ஒரே பயனுள்ள சான்றைத் தூக்கி எறிகிறது.
VPC-யின் கூட்டல்-இரண்டு முகவரி ஏன் தொலைநிலை resolver அல்ல
CIDR கூட்டல்-இரண்டு முகவரி VPC-க்குள் உள்ள வளங்களுக்கான உள்ளூர் சேவை. உள்ளூர் வலையமைப்புகளிலிருந்தோ அல்லது மற்றொரு VPC-யின் DNS சேவையகங்களிலிருந்தோ வினவல்களை நேரடியாக அந்த முகவரிக்கு அனுப்புவது ஆதரவு இல்லை என்றும் நிலையற்ற முடிவுகளைத் தரக்கூடும் என்றும் AWS ஆவணப்படுத்துகிறது.
இது ஒரு பரிசோதனை ஒருபோதும் வேலை செய்வது போல் தெரியாது என்று அர்த்தமல்ல. இது நடத்தை ஒரு ஆதரவு ஸ்கிரிப்ட்டில் வைக்கக்கூடிய ஒப்பந்தம் அல்ல என்று அர்த்தம். ஆதரவான திசை ஒரு உள்வரும் Resolver முனை: உங்கள் VPC-க்குள் உள்ள முகவரிச் சோடி, நீங்கள் கட்டுப்படுத்தும் வலையமைப்பிலிருந்து அணுகக்கூடியது, AWS-க்கு வெளியேயிருந்து வரும் வினவல்களை ஏற்கிறது.
பாதையை அது சுத்தமாகத் தோல்வியடையும் வரிசையில் கட்டுங்கள்
மூன்று தாவல்கள் இருக்க வேண்டும், ஒவ்வொன்றுக்கும் அதன் சொந்தத் தோல்வி முறை உண்டு.
VPN client -> approved DNS forwarder
forwarder -> forwarding rule for internal.example
forwarding rule -> Resolver inbound endpoint addressesபகிர்வி VPN வழியாக முனை முகவரிகளுக்கு ஒரு வழித்தடம் தேவை, திரும்பும் பாதையும் வேலை செய்ய வேண்டும். போர்ட் 53-ல் வழக்கமான DNS-க்கு முனை UDP மற்றும் TCP வழியாகப் பதிலளிக்கிறது, எனவே இரண்டு நெறிமுறைகளுக்கும் அனுமதி தேவை, இரண்டும் இடையேயுள்ள எந்த நிலை பரிசோதனையையும் தாண்ட வேண்டும்.
பின்னர் DNS பார்வையைத் தனியாகச் சரிபார்க்கவும். தனியுரிம ஹோஸ்ட் செய்யப்பட்ட மண்டலம் அது இணைக்கப்பட்ட VPC-களுக்கு மட்டுமே தெரியும், அல்லது வேண்டுமென்றே செய்யப்பட்ட பங்கீட்டு ஏற்பாட்டின் மூலம். அணுகக்கூடிய முனை தானாகவே ஒவ்வொரு தனியுரிம மண்டலத்தையும் அதன் தீர்வு சூழலில் தீர்க்கக்கூடியதாக்காது.
வெள்வரும் முனை எதிர் திசைக்குச் சேவை செய்கிறது, உங்கள் மடிக்கணினியிலிருந்து வரும் வினவலுக்குப் பதிலளிக்காது.
இரு முனைகளிலிருந்தும் சரிபார்க்கவும்
வாடிக்கையாளரிலிருந்து பகிர்விக்கு எதிராக வினவுங்கள், பின்னர் பகிர்வியிலிருந்து முனைக்கு எதிராக. வாடிக்கையாளர் தோல்வியடையும்போது பகிர்வி வெற்றியடைந்தால், இடைவெளி அந்த இரண்டுக்கும் இடையே உள்ளது.
இரண்டும் தோல்வியடைந்தால், முனையின் பாதுகாப்புக் கொள்கையையும் அது உண்மையில் காணும் மூல முகவரியையும் பாருங்கள். NAT-க்குப் பின்னால் உள்ள பகிர்வி மடிக்கணினியின் VPN முகவரிக்குப் பதிலாக NAT முகவரியை வழங்குகிறது, அந்த வேறுபாடு மட்டுமே வினவலை வீழ்த்த போதுமானது. இரண்டும் வெற்றியடைந்தும் பயன்பாடு இன்னும் தோல்வியடைந்தால், பயன்பாடு நீங்கள் சோதித்ததை விட வேறு resolver-ஐப் பயன்படுத்தலாம்.
பொது மற்றும் தனியுரிம பெயர்வெளிகளை வேண்டுமென்றே தனியாக வைத்திருங்கள். Split DNS என்பது நீங்கள் அமைக்கும் கொள்கை, ஒரு தேடல் தற்செயலாகத் தரவைத் திருப்பித் தருவதன் பக்க விளைவு அல்ல.
நான் செய்யாதவை
ஒரு தேடலை இயக்கிய NAT விதியைச் சேர்த்து அதை வடிவமைப்பு என்று சொல்லமாட்டேன்.
ஒரு சோதனை ஒரு முறை பதிவைத் திருப்பித் தந்ததால் ஒவ்வொரு தொலைநிலை வாடிக்கையாளரையும் கூட்டல்-இரண்டு முகவரிக்குத் திருப்பமாட்டேன். ஒரு பகிர்விக்கு அணுகல் தேவைப்படும்போது முனையின் பாதுகாப்புக் கொள்கையை முழு VPN குளத்திற்கும் விரிவாக்கமாட்டேன். நிறுவனம் ஏற்கனவே VPC-க்குள் அங்கீகரிக்கப்பட்ட பகிர்வியை இயக்கினால், முதலில் அந்த வடிவமைப்பைப் படியுங்கள், ஏனெனில் நீங்கள் சேர்க்கும் இரண்டாவது முனையே யாரும் ஆவணப்படுத்தாதது.