DNS ng parola ng Nebula: sino ang puwedeng magtanong ng aling rekord?
Ang opsyonal na tagapakinig ay sumasagot mula sa datos ng host na hawak ng parola. Magkaiba ang mga query sa rekord A at TXT sa maabot at madla, kaya sadyang iugnay ito.
Ang papel ng parola sa Nebula ay gumagawa ng maraming trabahong inaakala ng mga tao na awtomatiko, at ang pagsagot sa DNS ay hindi isa sa mga iyon. Ang serbisyo ng mga pangalan ay isang opsyonal na tagapakinig na nagsisimula nang patay, kaya ang isang host na mahusay mag-resolve ng mga pangalan sa loob ng overlay ay maaaring walang anumang gamitin para i-resolve ang laptop ng isang katrabaho. Bago ito buksan, magpasya kung sino ang dapat makarating dito at aling mga uri ng rekord ang handa mong sagutin, dahil magkaiba ang dalawang sagot na iyon.
Ang tagapakinig ay opsyonal at patay bilang default
Magkaibang serbisyo ang pagtuklas at DNS. Tinutulungan ng parola ang mga peer na magkita at bukod dito ay nakasasagot ng mga query sa pangalan tungkol sa mga host na kilala nito, ngunit ang ikalawang bahaging iyon ay dapat buksan nang tahasan sa configuration.
Magpasya kung aling mga interface at network ang dapat makarating sa tagapakinig bago mag-enable ng anuman. Ang isang serbisyong DNS na sumasagot sa isang interface na hindi mo sinasadya ay nagiging maliit na pagtagas ng impormasyon nang walang kahit isang log entry na may magbabasa. Mas mura ang pagpapasya ngayon kaysa sa pagpapaliit mamaya, kapag may isang bagay na umaasa sa maling sagot. Dalawang linya ng configuration ay mas madaling ipagtanggol kaysa sa isang tala ng insidente pagkalipas ng anim na buwan.
Hindi nagbabahagi ng madla ang mga rekord A at TXT
Ang dalawang uri ng rekord na ito ay sinasagot sa magkaibang kondisyon, at ang ituring silang isang serbisyo ay ang pagkakamaling nilalayon ng artikulong ito na pigilan.
| Query | What it returns | Who can reach it |
|---|---|---|
| A record for a host name | That host Nebula IP | Any host that can reach the listener, overlay or not |
| TXT for a host IP | Certificate information | Only over the Nebula network |
Ang kawalan ng simetrya ay sinasadya at hindi kapabayaan. Ang pagmamapa ng pangalan sa address ay maliit ang halaga sa isang tagalabas, samantalang inilalarawan ng metadata ng sertipiko ang mga pagkakakilanlan sa iyong overlay. Huwag magdala ng palagay mula sa isang hilera patungo sa isa pa dahil lang sa parehong proseso ang sumasagot sa dalawa.
Sumasagot lamang ito tungkol sa sariling mga host ng parola
Hindi ito pangkalahatang resolver para sa iyong opisina, VPC sa cloud o pampublikong internet. Sumasagot ang parola mula sa impormasyon ng host na ibinigay dito, kaya naninirahan ang tampok na ito sa mga node ng parola at hindi sa bawat peer.
Kapag nabigo ang isang pangalan na walang kaugnayan sa overlay, hanapin ang zone at resolver na tunay na nagmamay-ari nito. Ang paghahalo ng overlay resolver sa pangkalahatang configuration ng DNS ng isang host ay gumagawa ng mga pagkabigo na mukhang random, dahil ang ilang pangalan ay naresolba at ang iba ay walang sumasagot.
Tingnan din ang entry point ng bootstrap. Ang hostname na ginagamit upang maabot ang unang parola ay dapat ma-resolve sa ordinaryong landas bago ito maaasahan ng pagtuklas, kaya ang suliranin ng manok at itlog dito ay mukhang eksaktong sirang overlay. Nag-uulat pa ito sa parehong paraan: isang peer na hindi kailanman bumabangon at walang malinaw na dahilan. Suriin ang resolution ng pangalan bago hawakan ang mga sertipiko, dahil nahuhuli ng ayos na ito ang mga nagsimula sa mas mahirap na kalahati.
Suriin ang bind address, pagkatapos ay subukan mula sa labas
lighthouse.dns.host at lighthouse.dns.port ang nagpapasya kung saan nakikinig ang opsyonal na serbisyo. Repasuhin ang mga halagang iyon kasama ng firewall ng host at patakaran ng network, dahil ang bind address ay isang pahayag ng intensyon at hindi isang kontrol sa seguridad sa sarili nito.
dig @10.42.0.1 -p 53 workstation.nebula A +short
dig @10.42.0.1 -p 53 10.42.0.7 TXT +shortMagtanong mula sa mga network na nais mong payagan, hindi mula sa parola mismo. Ang matagumpay na paghahanap sa parola ay nagpapatunay na tumatakbo ang proseso at walang sinasabi tungkol sa kung ano ang maaaring itanong ng isang panlabas na host, at iyon ang tanong na tunay na mahalaga.
Ihayag ito nang sinasadya
Ang mga pangalan at metadata ng sertipiko ay kapaki-pakinabang na impormasyong pang-operasyon, at ang pagiging kapaki-pakinabang ay pumuputol sa dalawang direksyon. Magpasya kung ang tagapakinig ay para lamang sa overlay, aling mga uri ng rekord ang papayagan at sino ang nagrerepaso ng configuration kapag nagbabago ito.
Pagkatapos ay isulat ito sa tabi ng mga setting ng parola. Ang susunod na taong magde-debug ng pagkabigo sa resolution ay ipagpapalagay kung hindi gayon na lagi nang naroon ang serbisyo. Ipagpapalagay din niya na lagi itong maaabot mula saanman siya nagkakataong sumusubok. Ang isang talata na nagtatala ng bind address, ang mga pinapayagang network at ang mga uri ng rekord ay nagtitipid sa taong iyon ng isang hapon at nagtitipid sa iyo ng isang mensaheng nagtatanong kung bakit may nagbago.