VPN మీద BIND: షరతులతో కూడిన ఫార్వర్డ్ లేదా స్టబ్ జోన్?
VPN ద్వారా ఒక ప్రైవేట్ జోన్ పరిష్కరించే మూడు మార్గాలు మరియు ప్రతిదీ ఎప్పుడు సరిపోతుంది: forward, stub లేదా secondary, తో పాటు నిర్ణయించే మూల చిరునామా తనిఖీ.
మీ కార్యాలయ రిజాల్వర్ ఒక కార్పొరేట్ నామస్థలాన్ని తప్ప అన్నింటికీ సమాధానం ఇస్తుంది, మరియు దాన్ని తెలిసిన కార్పొరేట్ DNS సర్వర్ VPN వెనుక ఉంది. BIND ఆ ఒకే జోన్ను మూడు వేర్వేరు మార్గాల్లో అప్స్ట్రీమ్కు అప్పగించగలదు, అవి వేర్వేరుగా విఫలమవుతాయి. షరతులతో కూడిన ఫార్వర్డ్ అతి చిన్న నిబద్ధత, స్టబ్ జోన్ డెలిగేషన్ డేటాను ఉంచుతుంది, మరియు secondary పూర్తి నకలును ఉంచుతుంది. మీరు మొదట కనుగొన్న స్నిపెట్ ఆధారంగా కాకుండా, అప్స్ట్రీమ్ ఏమి అనుమతిస్తుంది మరియు మీ రిజాల్వర్ ఏమి ఉంచుకోవాలని మీరు కోరుకుంటున్నారు అనే దాని ఆధారంగా ఎంచుకోండి.
ఒక నామస్థలం కోసం మూడు ఏర్పాట్లు
| Type | What your resolver keeps | Upstream must | Fails when |
|---|---|---|---|
forward | a forwarder list | answer queries from your source address | upstream is down and forward only is set |
stub | the zone's NS records and addresses | answer NS queries for the zone | delegation data goes stale after an NS change |
secondary | a full copy of the zone | permit AXFR or IXFR from your source | transfer is blocked by ACL or firewall |
షరతులతో కూడిన ఫార్వర్డ్: అతి చిన్న నిబద్ధత
కార్యాలయ రిజాల్వర్ 192.168.10.53 వద్ద మరియు కార్పొరేట్ సర్వర్ 10.40.0.53 వద్ద, ఆమోదించిన సొరంగం ద్వారా చేరుకోగలదని భావించండి. ప్రకటన మూడు పంక్తులు, మరియు ఆసక్తికరమైనది forward only, ఎందుకంటే అది మార్గాన్ని కాదు, వైఫల్య ప్రవర్తనను మారుస్తుంది.
zone "corp.example" {
type forward;
forward only;
forwarders { 10.40.0.53; };
};forward only తో, చేరుకోలేని అప్స్ట్రీమ్ ఈ జోన్ కోసం పునరావృత పరిష్కారానికి తిరిగి వెళ్లకుండా SERVFAIL ఇస్తుంది. ప్రైవేట్ నామస్థలానికి సాధారణంగా ఇదే కావాలి, ఎందుకంటే తిరిగి వెళ్లడం ప్రైవేట్ పేర్లను పబ్లిక్ రిజాల్వర్కు పంపి ఇంటర్నెట్ నుండి పనికిరాని సమాధానం తెస్తుంది. BIND సూచన రెండు విధానాలను నమోదు చేస్తుంది, మరియు భేదం స్నిపెట్ సూచించే దానికంటే ముఖ్యం. అదే పేరుకు ఇప్పటికే ఉన్న జోన్ను భర్తీ చేయకుండా జోన్ను ఇప్పటికే ఉన్న కాన్ఫిగరేషన్లో విలీనం చేయండి.
స్టబ్ లేదా secondary: డెలిగేషన్ ముఖ్యమైనప్పుడు
స్టబ్ జోన్ కార్పొరేట్ సర్వర్ను జోన్ యొక్క NS రికార్డులను అడిగి, ఆపై అధికారిక సర్వర్లను నేరుగా అడుగుతుంది. అప్స్ట్రీమ్ ప్రాంతం పెద్దగా లేదా విభజించబడి ఉన్నప్పుడు, అన్నింటినీ ఒకే చిరునామాకు మేకు వేయకుండా మీ రిజాల్వర్ డెలిగేషన్ను అనుసరించాలని కోరుకున్నప్పుడు దీన్ని ఎంచుకోండి. ధర NS డేటా తాజాగా ఉండటంపై మరియు జాబితా చేయబడిన ప్రతి పేరు సర్వర్ మీ రిజాల్వర్ యొక్క మూల చిరునామా నుండి చేరుకోగలగడంపై ఆధారపడటం.
zone "corp.example" {
type stub;
masters { 10.40.0.53; };
};
zone "corp.example" {
type secondary;
primaries { 10.40.0.53; };
file "corp.example.db";
};secondary స్థానిక డేటా నుండి సమాధానం ఇస్తుంది మరియు అప్స్ట్రీమ్ అంతరాయాన్ని తట్టుకుంటుంది, అందుకే బదిలీ ఆధారపడటాన్ని అంగీకరించవచ్చు. దీని అర్థం మీ రిజాల్వర్ ఇప్పుడు తనది కాని జోన్ యొక్క నకలును ఉంచుతుంది, కాబట్టి ఫైల్ మార్గం, ప్రాథమికంలో బదిలీ ACL మరియు రిఫ్రెష్ టైమర్లు అన్నీ మీ కార్యాచరణ ఉపరితలంలో భాగమవుతాయి.
వాటి మధ్య నిర్ణయించే తనిఖీ
BIND తన స్వంత బయటకు వెళ్లే క్వెరీని తానే సృష్టిస్తుంది, కాబట్టి ప్రశ్న ల్యాప్టాప్ 10.40.0.53 చేరుకోగలదా అని కాదు, రిజాల్వర్ హోస్ట్ కార్పొరేట్ సర్వర్ చూసే మూల చిరునామా నుండి చేరుకోగలదా అని. మొదట కెర్నల్ను అడగండి, తర్వాత సర్వర్ను, ఆ క్రమంలో.
ip route get 10.40.0.53
named-checkconf
rndc reload corp.example
dig @10.40.0.53 corp.example NS +norecurse
dig @192.168.10.53 portal.corp.exampleమార్గంలో UDP మరియు TCP అనుమతించండి: కత్తిరించిన సమాధానం TCPని బలవంతం చేస్తుంది, మరియు UDP మాత్రమే అనుమతించే విధానం ప్యాకెట్ నష్టం లాగా కనిపించే మధ్యంతర వైఫల్యాలను కలిగిస్తుంది. కార్పొరేట్ వైపు మీ రిజాల్వర్ మూలం కోసం అంగీకార నియమం మరియు దానికి తిరిగి వెళ్లే మార్గం రెండూ అవసరం; ఆ మూలం రిజాల్వర్ యొక్క రూట్ చేయబడిన చిరునామా లేదా స్పష్టంగా అనువదించబడిన చిరునామా కావచ్చు, మరియు అది అరుదుగా క్లయింట్ పూల్ చిరునామా. NS క్వెరీ విఫలమైతే, ఫార్వర్డ్ జోన్ ఎలా ప్రవర్తించినా స్టబ్ జోన్ పనిచేయదు.
సొరంగాన్ని కాదు, సమాధానాన్ని ధృవీకరించండి
మీరు ఎప్పుడూ అడగని పేరు కోసం కార్యాలయ రిజాల్వర్ ద్వారా క్వెరీ చేయండి, మరియు సమాధానం యొక్క authority భాగాన్ని చూసి అది కార్పొరేట్ జోన్ నుండి వచ్చిందో లేదో తెలుసుకోండి. కాష్లో ఉన్న సమాధానం ప్రస్తుత మార్గం గురించి ఏమీ నిరూపించదు, మరియు అప్స్ట్రీమ్కు నేరుగా విజయవంతమైన క్వెరీ మీ రిజాల్వర్ ఆ జోన్ను ఎంచుకుందని నిరూపించదు. అదే క్వెరీని TCP మీద పునరావృతం చేసి మార్గం కత్తిరింపును తట్టుకుంటుందని నిర్ధారించుకోండి.
క్లయింట్లను కార్యాలయ రిజాల్వర్ వైపు ఉంచండి, మరియు DNSSEC ధృవీకరణను ఆన్లో ఉంచండి. స్వతంత్ర ఎన్క్రిప్టెడ్ రిజాల్వర్తో కాన్ఫిగర్ చేయబడిన బ్రౌజర్ ఈ ఏర్పాటును పూర్తిగా దాటవేస్తుంది, మరియు ఊహించని సమాధానం సరిగ్గా కనిపించడానికి ధృవీకరణను ఆఫ్ చేయడం కనిపించే వైఫల్యాన్ని కనిపించని దానితో మారుస్తుంది.
మూడింటిలో ఏ రకాన్ని ఎంచుకున్నారు మరియు ఎందుకు అని రాయండి. జోన్ విఫలమవడం చూసే తదుపరి వ్యక్తికి కాన్ఫిగ్ ఫైల్ కంటే ఆ వాక్యం ఎక్కువ అవసరం.