สองไซต์ หนึ่งโซน DNS ส่วนตัว: ใครเป็นเจ้าของระเบียน?

คุณเพิ่มโฮสต์ที่ไซต์สีเขียว มันแก้ไขได้สำหรับผู้ใช้สีเขียว และสำนักงานสีเหลืองยังคงได้รับ NXDOMAIN นี่ไม่ใช่ความล้มเหลวของ VPN และไม่ใช่ตัวแก้ไขที่เสีย แต่เป็นช่องว่างความเป็นเจ้าของในโซนส่วนตัว รายการระเบียนสองชุดที่แก้ไขแยกกันไม่ได้กลายเป็นโซนเดียวเพียงเพราะไซต์เข้าถึงกันได้ ทางแก้คือแผนการเผยแพร่ ไม่ใช่กฎไฟร์วอลล์อีกข้อ

อาการบ่งชี้ถึงเจ้าของที่หายไป

แต่ละไซต์น่าจะมีการแทนที่ภายในเครื่อง รายการ Pi-hole หรือบรรทัด dnsmasq ที่มีคนเพิ่มเมื่อต้องการชื่อ ระเบียนสีเขียวมีอยู่เฉพาะบนตัวแก้ไขสีเขียว ดังนั้นไคลเอนต์ที่ฝั่งเหลืองจึงถามตัวแก้ไขของตนเองและได้รับคำตอบ "ไม่มีชื่อนั้น" อย่างจริงใจ คำตอบที่เก่าจะดูต่างออกไป โฮสต์ย้ายไป ไซต์หนึ่งอัปเดตสำเนาของตน และอีกไซต์ยังคงคืนที่อยู่เก่า

ไม่มีรูปแบบใดได้รับการแก้ไขอย่างยาวนานด้วยการล้างแคช แคชของตัวแก้ไขที่ส่งต่อเป็นสำเนาของคำตอบที่เคยได้รับ ไม่ใช่อำนาจที่เผยแพร่ชื่อใหม่ แคชที่ทำงานวันนี้จึงไม่บอกอะไรเกี่ยวกับโฮสต์ของพรุ่งนี้ เอกสารของ BIND อธิบายบทบาทปฐมภูมิ ทุติยภูมิ แบบเรียกซ้ำ และแบบส่งต่อแยกจากกันด้วยเหตุผลนี้เอง

ดังนั้นคำถามการออกแบบจึงแคบและตอบได้ ใครสร้างระเบียนได้ และระเบียนนั้นไปถึงตัวแก้ไขทุกตัวที่ต้องตอบแทนได้อย่างไร

ทางเลือก A: โซนอำนาจเดียวที่มีตัวสำรอง

เรียกใช้ปฐมภูมิสำหรับ internal.example.com และให้ตัวสำรองที่รองรับดึงโซนไปยังแต่ละไซต์ ตัวแก้ไขแบบเรียกซ้ำของแต่ละไซต์ถามตัวสำรองในเครื่อง จึงได้คำตอบจากแหล่งอำนาจไม่ใช่จากแคช และการเปลี่ยนแปลงที่ทำครั้งเดียวจะถูกถ่ายโอนแทนการพิมพ์ใหม่

การจัดวางนั้นต้องมีการตัดสินใจชัดเจนซึ่งเลื่อนออกไปได้ง่ายและเสียหายหากข้ามไป ใครแก้ไขโซนได้ เซิร์ฟเวอร์ใดได้รับอนุญาตให้ถ่ายโอน และผ่านที่อยู่ใด ไคลเอนต์ควรเห็นอะไรระหว่างที่อุโมงค์ระหว่างไซต์ล่ม ตัวสำรองยังคงตอบจากสำเนาล่าสุด ซึ่งโดยปกติเป็นพฤติกรรมที่ต้องการ แต่ต้องเป็นการเลือกที่ประกาศไว้ ไม่ใช่เรื่องประหลาดใจระหว่างเกิดเหตุขัดข้อง

จำกัดการถ่ายโอนโซนไว้ที่ตัวสำรองที่รู้จักตามที่อยู่ และใช้ลายเซ็นธุรกรรมในที่ที่การใช้งานรองรับ การถ่ายโอนแบบเปิดคือสำเนาพื้นที่ชื่อภายในของคุณสำหรับใครก็ตามที่เข้าถึงพอร์ตได้

ราคาคือการประสานงาน เส้นทางการแก้ไขหนึ่งเส้นทาง การทบทวนการเปลี่ยนแปลงหนึ่งครั้ง และความเข้าใจร่วมกันว่าใครเข้าเวรเมื่อระเบียนผิด

ทางเลือก B: ซับโดเมนต่อไซต์

มอบหมาย green.internal.example.com ให้ไซต์สีเขียว และ yellow.internal.example.com ให้ไซต์สีเหลือง แต่ละไซต์กลายเป็นอำนาจสำหรับชื่อของตน และโซนแม่ถือเฉพาะระเบียนการมอบหมาย การแย่งชิงไฟล์เดียวหายไป และทีมท้องถิ่นเพิ่มโฮสต์ได้โดยไม่ต้องรอการเปลี่ยนแปลงจากส่วนกลาง

การมอบหมายต้องมีอยู่ในโซนแม่ พร้อมระเบียน NS ที่ชี้ไปยังเซิร์ฟเวอร์อำนาจของไซต์ การส่งต่อแบบมีเงื่อนไขสำหรับซับโดเมนเป็นทางเลือกที่ใช้ได้เมื่อการมอบหมายเต็มรูปแบบไม่เป็นจริงในทางปฏิบัติ แต่เป็นการตั้งค่าตัวแก้ไข ไม่ใช่ข้อเท็จจริงที่เผยแพร่ ดังนั้นตัวแก้ไขทุกตัวต้องมีกฎเดียวกัน

ราคาเคลื่อนย้ายแทนที่จะหายไป โซนแม่ยังต้องมีเจ้าของ และการสร้างไซต์ใหม่ตอนนี้เป็นการเปลี่ยนแปลงในสองที่แทนที่จะเป็นที่เดียว

ทำให้ตัวแก้ไขทุกตัวทำตามการเลือก

มอบตัวแก้ไขที่ได้รับอนุมัติและโดเมนค้นหาให้ไคลเอนต์ผ่านการกำหนดค่าที่รองรับ และตรวจสอบให้แน่ใจว่า ตัวแก้ไขมีเส้นทาง VPN ที่ได้รับอนุญาตไปยังเซิร์ฟเวอร์ DNS ระยะไกลใด ๆ ที่ต้องสอบถาม. แอปพลิเคชันยังต้องมีเส้นทางไปยังที่อยู่ส่วนตัวที่คำตอบเหล่านั้นคืนมา เพราะชื่อที่ถูกต้องแต่ไม่มีเส้นทางก็ยังเป็นการเชื่อมต่อที่ขาด

หาก Pi-hole ให้การแก้ไขภายในเครื่อง ให้จดไว้ว่าระเบียนใดเป็นของมันและคำถามใดที่มันส่งต่อ รายการ Pi-hole สองชุดที่แก้ไขแยกกันยังคงไม่จำลอง ใน Pi-hole v6 บรรทัด dnsmasq ที่กำหนดเองตั้งค่าผ่านตัวเลือกฝั่งโฮสต์ เช่น TOML, CLI หรือตัวแปรสภาพแวดล้อม และไม่ถูกเปิดเผยผ่าน API การโหลดไฟล์ /etc/dnsmasq.d/ เป็นตัวเลือกแยกที่ปิดอยู่โดยค่าเริ่มต้น

จากนั้นทดสอบจากทั้งสองฝั่งด้วยชื่อที่ควรเห็นได้ทุกที่:

$ dig +short newhost.green.internal.example.com @10.20.0.53
10.20.0.41
$ dig +short newhost.green.internal.example.com @10.30.0.53
10.20.0.41
$ dig SOA internal.example.com @10.30.0.53

คำตอบ SOA บอกคุณว่าตัวแก้ไขสีเหลืองคิดว่าตนมีอำนาจ กำลังถามตัวสำรอง หรือเพียงส่งต่อ สิ่งเหล่านี้เป็นการออกแบบต่างกันด้วยโหมดล้มเหลวต่างกัน และคำตอบมักระบุว่าคุณติดตั้งใช้งานตัวใดจริง

จบด้วยกรณีทดสอบการยอมรับสามกรณี ชื่อหนึ่งชื่อจากแต่ละไซต์ ระเบียนหนึ่งรายการที่เปลี่ยนแปลงภายในหนึ่งชั่วโมง และลิงก์ระหว่างไซต์ไม่พร้อมใช้งาน การออกแบบที่ผ่านเฉพาะกรณีแรกมีแผนการเผยแพร่บนกระดาษและการแทนที่ภายในเครื่องในการผลิต