ప్రైవేట్ DNS VPC లో పనిచేస్తుంది కానీ VPN పై కాదు
EC2 లోపల పరిష్కరించబడే కానీ VPN పై పరిష్కరించబడని ప్రైవేట్ పేరు resolver మార్గం సమస్య. జోన్ రికార్డును మార్చే ముందు వైఫల్యం ఆకృతిని చదవండి.
ఒక ప్రైవేట్ పేరు EC2 ఇన్స్టాన్స్ నుండి పరిష్కరించబడుతుంది కానీ VPN ద్వారా కనెక్ట్ అయిన ల్యాప్టాప్ నుండి కాదు, మరియు జోన్ కన్సోల్లో సరిగ్గా కనిపిస్తుంది. మొదటి ప్రవృత్తి రికార్డును సవరించడం, అది దాదాపు ఎప్పుడూ సమస్య కాదు. రికార్డు ఎవరికో సమాధానం ఇస్తోంది; మీ ల్యాప్టాప్కు మాత్రం సమాధానం ఇవ్వడం లేదు. రెండు కాలర్ల మధ్య భేదం ఏమిటంటే వారు ఏ resolver ను అడుగుతారు మరియు ఆ resolver కు VPC యొక్క DNS వీక్షణకు మద్దతు ఉన్న మార్గం ఉందా అనేది.
రికార్డు ఉనికిని నిరూపించడంతో ప్రారంభిస్తాను, మిగిలిన సమయాన్ని క్వెరీ మార్గంపై గడుపుతాను. ఇవి వేర్వేరు వ్యవస్థలు మరియు వేర్వేరు విధాలుగా విఫలమవుతాయి.
ఏదైనా మార్చే ముందు వైఫల్యం ఆకృతిని చదవండి
మూడు ఫలితాలు మూడు వేర్వేరు విషయాలను సూచిస్తాయి, మరియు ఒక క్వెరీ వాటిని వేరు చేస్తుంది: క్లయింట్ నిజంగా ఉపయోగిస్తున్న resolver కు వ్యతిరేకంగా పేరు కోసం dig అమలు చేయండి.
| What you see | What it usually means | First thing to check |
|---|---|---|
| SERVFAIL, or a timeout after several seconds | No path to the resolver, or the resolver cannot reach AWS | Route to the endpoint and the security policy on port 53 |
| NXDOMAIN from a resolver that did answer | The resolver replied, but the zone is not in its view | Zone association or the forwarding rule for that namespace |
| A public address for an internal name | Split DNS is not in effect for this client | Which resolver the client is configured to use |
సమయం ముగియడం నెట్వర్క్ గురించిన ప్రకటన. NXDOMAIN అనేది DNS వీక్షణ గురించిన ప్రకటన. పబ్లిక్ సమాధానం విధానం గురించిన ప్రకటన. సమయం ముగిసినప్పుడు జోన్ రికార్డును సవరించడం కేసులోని ఏకైక ఉపయోగకరమైన సాక్ష్యాన్ని పారేస్తుంది.
VPC యొక్క ప్లస్-రెండు చిరునామా ఎందుకు రిమోట్ resolver కాదు
CIDR ప్లస్-రెండు చిరునామా VPC లోపలి వనరులకు స్థానిక సేవ. స్థానిక నెట్వర్క్ల నుండి, లేదా మరొక VPC యొక్క DNS సర్వర్ల నుండి, క్వెరీలను నేరుగా ఆ చిరునామాకు పంపడం మద్దతు లేదని మరియు అస్థిర ఫలితాలను ఇవ్వవచ్చని AWS పత్రీకరిస్తుంది.
ఇది ఒక ప్రయోగం ఎప్పుడూ పనిచేస్తున్నట్టు కనిపించదు అని కాదు. ఇది ప్రవర్తన సహాయక స్క్రిప్ట్లో పెట్టగల ఒప్పందం కాదు అని అర్థం. మద్దతు ఉన్న దిశ ఇన్బౌండ్ Resolver ఎండ్పాయింట్: మీ VPC లోపల చిరునామాల జంట, మీ నియంత్రణలోని నెట్వర్క్ నుండి చేరుకోగలిగేది, AWS వెలుపలి నుండి వచ్చే క్వెరీలను అంగీకరిస్తుంది.
మార్గాన్ని అది శుభ్రంగా విఫలమయ్యే క్రమంలో నిర్మించండి
మూడు హాప్లు ఉండాలి, మరియు ప్రతి దానికి దాని స్వంత వైఫల్య మార్గం ఉంది.
VPN client -> approved DNS forwarder
forwarder -> forwarding rule for internal.example
forwarding rule -> Resolver inbound endpoint addressesఫార్వర్డర్కు VPN ద్వారా ఎండ్పాయింట్ చిరునామాలకు మార్గం కావాలి, తిరిగి వచ్చే మార్గం కూడా పనిచేయాలి. పోర్ట్ 53 పై సాంప్రదాయ DNS కోసం ఎండ్పాయింట్ UDP మరియు TCP పై సమాధానం ఇస్తుంది, కాబట్టి రెండు ప్రోటోకాల్లకు అనుమతి ఉండాలి మరియు రెండూ మధ్యలో ఏదైనా స్థితి తనిఖీని దాటాలి.
తర్వాత DNS వీక్షణను విడిగా తనిఖీ చేయండి. ప్రైవేట్ హోస్ట్ చేసిన జోన్ అది అనుబంధించబడిన VPC లకు మాత్రమే కనిపిస్తుంది, లేదా ఉద్దేశపూర్వక షేరింగ్ ఏర్పాటు ద్వారా. చేరుకోగలిగే ఎండ్పాయింట్ తనంతట తానే ప్రతి ప్రైవేట్ జోన్ను దాని పరిష్కార సందర్భంలో పరిష్కరించగలిగేదిగా చేయదు.
అవుట్బౌండ్ ఎండ్పాయింట్ వ్యతిరేక దిశకు సేవ చేస్తుంది మరియు మీ ల్యాప్టాప్ నుండి వచ్చే క్వెరీకి సమాధానం ఇవ్వదు.
రెండు చివరల నుండి ధృవీకరించండి
క్లయింట్ నుండి ఫార్వర్డర్కు వ్యతిరేకంగా క్వెరీ చేయండి, తర్వాత ఫార్వర్డర్ నుండి ఎండ్పాయింట్కు వ్యతిరేకంగా. క్లయింట్ విఫలమైతే ఫార్వర్డర్ విజయవంతమైతే, అంతరం ఆ రెండింటి మధ్య ఉంటుంది.
రెండూ విఫలమైతే, ఎండ్పాయింట్పై భద్రతా విధానాన్ని మరియు అది నిజంగా చూసే మూల చిరునామాను చూడండి. NAT వెనుక ఉన్న ఫార్వర్డర్ ల్యాప్టాప్ యొక్క VPN చిరునామా బదులు NAT చిరునామాను ప్రదర్శిస్తుంది, మరియు ఆ భేదం ఒక్కటే క్వెరీని పడేయడానికి సరిపోతుంది. రెండూ విజయవంతమైనా అప్లికేషన్ ఇప్పటికీ విఫలమైతే, అప్లికేషన్ మీరు పరీక్షించిన దానికంటే వేరే resolver ఉపయోగిస్తూ ఉండవచ్చు.
పబ్లిక్ మరియు ప్రైవేట్ పేరు స్థలాలను ఉద్దేశపూర్వకంగా వేరుగా ఉంచండి. Split DNS అనేది మీరు కాన్ఫిగర్ చేసే విధానం, ఒక శోధన యాదృచ్ఛికంగా డేటాను తిరిగి ఇవ్వడం యొక్క దుష్ప్రభావం కాదు.
నేను చేయని పనులు
ఒక శోధనను నడిపే NAT నియమాన్ని జోడించి దాన్ని డిజైన్ అని చెప్పను.
ఒక పరీక్ష ఒకసారి రికార్డును తిరిగి ఇచ్చిందని నేను ప్రతి రిమోట్ క్లయింట్ను ప్లస్-రెండు చిరునామా వైపు తిప్పను. మరియు ఒకే ఫార్వర్డర్కు యాక్సెస్ కావాల్సినప్పుడు ఎండ్పాయింట్ భద్రతా విధానాన్ని మొత్తం VPN పూల్కు విస్తరించను. సంస్థ ఇప్పటికే VPC లోపల ఆమోదించబడిన ఫార్వర్డర్ను నడుపుతుంటే, మొదట ఆ డిజైన్ను చదవండి, ఎందుకంటే మీరు జోడించే రెండవ ఎండ్పాయింట్ ఎవరూ పత్రీకరించనిది.