Hindi available ang recursion: patakaran sa DNS, hindi sirang tunnel

Nalulutas ang panloob na pangalan, at ang parehong server ay sumasagot sa panlabas na pangalan ng isang pagtanggi tungkol sa recursion. Ang kombinasyong iyon ay hindi kontradiksyon. Ang paglalathala ng sariling mga zone at ang paglutas ng buong internet ay dalawang hiwalay na serbisyo na maaaring ialok ng server, at magagawa nito ang una nang wala ang pangalawa. Ituring ang pagtanggi bilang pahayag ng patakaran, pagkatapos ay tingnan kung tugma ang patakaran sa disenyo.

Ang pagtanggi at ang timeout ay magkaibang sagot

Itala ang pangalan, uri ng query, server na sumagot, estado at mga rekord na ibinalik. Ang babala ng recursion ay hindi awtomatikong nagpapawalang-bisa sa isang awtoritatibong sagot na dumating kasama nito. Isulat ang estado bago mo ito bigyang-kahulugan. Ang estadong muling binuo mula sa memorya makalipas ang isang oras ay ibang katotohanan.

Ang header ng DNS ay may dalang kahilingan para sa recursion at indikasyon kung inaalok ito ng server, at ang espesipikasyon ng protocol ay naglalayo sa mga flag na iyon mula sa datos ng sagot. Kaya maaaring maging kapaki-pakinabang ang isang sagot at may dalang reklamo pa rin. Ang timeout, negatibong sagot at pagtanggi ay tatlong magkaibang resulta. Bawat isa ay tumuturo sa ibang layer, at ang pagtanggi lamang ang server na nagsasabi sa iyo tungkol sa patakaran.

Basahin muna ang status code, pagkatapos ay magpasya kung mahalaga ang babala para sa query na ito. Ang awtoritatibong sagot na nagngangalan sa zone ay magagamit kahit tinatanggihan ang recursive bit. Ang pagtanggi na walang sagot ay resulta ng patakaran, hindi sirang landas ng packet.

Ano ang itinala ng resolver bilang iyong pinagmulan

Maaaring dumating ang client mula sa pool ng address sa labas ng pinapayagang recursive range ng server, o maaaring gawin ito ng pagsasalin na mukhang gateway. Ang address ng adapter mismo ng client ay hindi ebidensya kung ano ang natanggap ng resolver. Tanungin ang administrator ng server tungkol sa naobserbahang pinagmulan sa halip na hulaan ito mula sa iyong panig ng landas. Maaaring magkaiba ang dalawang address sa bawat hop na nagsasalin.

Tanungin ang parehong pangalan mula sa client at mula sa host na pinagkakatiwalaan na ng server. Ang pagkakaiba ng dalawang sagot ay ang kondisyon ng pinagmulan, at mas kapaki-pakinabang ito kaysa sa alinman sa mga sagot nang mag-isa.

dig +short host.corp.example
dig +short example.com

Kung nais ng deployment ng recursion para sa mga kliyente ng VPN, pinapahintulutan ng administrator ang angkop na saklaw ng pinagmulan sa pamamagitan ng sariling mga kontrol ng server. Ang pagbukas ng recursion sa bawat network para makapasa ang isang pagsubok ay mas malaking pagbabago kaysa sa sinusubukan. Isulat ang pinapayagang saklaw sa tabi ng tuntunin, dahil tatanungin ng susunod na tagasuri kung aling mga pinagmulan ang dapat paglingkuran ng patakaran. Ang saklaw ng pinagmulan na walang may-ari ang paraan kung paano nagiging permanente ang pansamantalang pagsubok.

Ang split DNS ay disenyo, hindi depekto

Ang ilang deployment ay nagpapadala lamang ng mga domain ng trabaho sa pribadong resolver at lahat ng iba pa sa isa pang aprubadong resolver. Iyon ay disenyo ng routing ng query, at hindi ebidensya na kailangan ng pribadong server ang mas maluwag na patakaran. Sa disenyong iyon, ang panlabas na pangalan na nabigo sa pribadong resolver ay ang nilalayong resulta at hindi depekto. Ang pagtanggi ay ang disenyong gumagana, hindi sintomas na dapat pigilan.

Ang pampublikong resolver ay maaaring magbalik ng pag-browse habang sinisira ang mga panloob na pangalan o nagpapadala ng pribadong query kung saan hindi dapat. Isulat ang nilalayong pag-uugali bago baguhin ang anumang address ng resolver.

I-verify ang patakaran gamit ang dalawang query

Pagkatapos ng nilalayong pagwawasto, tanungin ang pinapayagang pribadong pangalan at isang panlabas na pangalan mula sa aktwal na client. Ang ibinalik ay dapat na kung ano ang ipinangako ng patakaran, hindi lamang isang mas tahimik na diagnosis. Itala ang server na sumagot sa bawat sagot, pagkatapos ay ihambing ang pares sa patakaran. Ang paghahambing ay ang pagsubok, at ang isang matagumpay na paghahanap ay hindi.

resolvectl query host.corp.example
resolvectl query example.com

Kung gumagana ang pribadong pangalan at tinatanggihan ang pampublikong pangalan, ginagawa ng patakaran ang sinasabi nito. Kung nabigo rin ang pribadong pangalan, ang problema ay sa zone, ruta o awtorisasyon ng pinagmulan, at ang recursion ay distraction. Kapaki-pakinabang ang parehong resulta, at ang bawat isa ay nag-aalis ng kalahati ng natitirang hypotheses.

Basahin ang pagtanggi bilang ebidensya

Ang pagtanggi ay isang sagot. Ibig sabihin natanggap ng server ang query at tumanggi na gawin ang hinihiling na trabaho, na iba sa packet na hindi dumating kailanman. Ang pagkakaibang iyon ang buong diagnosis. Itala ito bilang sagot, hindi bilang kabiguan ng koneksyon.

Sinasabi ng pagkakaibang iyon kung saan titingin: mga log ng server, patakaran nito sa pag-access at ang pinagmulang itinala nito. Ang pagbabago sa firewall ay hindi makapag-aayos ng pagtanggi sa patakaran, at ang pagbabago sa patakaran ay hindi makapag-aayos ng nawawalang ruta. Panatilihing hiwalay ang dalawang hypothesis hanggang may ebidensya ang isa sa kanila.

Isulat ang resulta at ang may-ari ng patakaran sa ticket, upang ang susunod na tao ay magsimula sa desisyon at hindi sa babala. Banggitin ang pinapayagang saklaw ng pinagmulan at ang dalawang pangalan na sinubukan mo. Ang ticket na may tatlong katotohanang iyon ay maaaring patakbuhin muli; ang nagsasabing "sira ang recursion" ay hindi.