Nakaangat ang tunnel, bakit nabibigo pa rin ang pribadong pangalan?

Mukhang tama ang lahat sa koneksyon: nakaangat ang tunnel at ipinapakita ng console ang pribadong endpoint, ngunit bawat kahilingan ay nabibigo sa resolusyon ng pangalan. Ang natural na hakbang ay sisihin ang tunnel, na kadalasang lumalabas na walang kasalanan. Ipinapadala ang query sa isang server na walang alam tungkol sa pribadong zone. Walang pagbabago sa routing ang makakabago sa sagot na iyon, dahil ang problema ay kung sino ang tinanong.

Aling resolver ang naabot ng query?

Hanapin ang resolver na nakakabit sa bawat link bago pa man tingnan ang tunnel. Ipinapakita ng Linux ang mga server bawat link sa pamamagitan ng command ng status ng resolver, at ipinapakita ng macOS ang mga resolver na may saklaw sa dump ng configuration ng DNS. Kung galing pa rin ang sagot sa home router, hindi kailanman kinonsulta ang link ng tunnel.

resolvectl status
scutil --dns | head -40
dig +short internal.example.com

Dalawang yugto ang pinagsasama rito: isang server na nagtutulak ng address ng resolver, at isang kliyenteng nag-iinstall nito sa aktibong link. Maaaring taglayin ng profile ang opsyon, at maaaring ipakita ng log na dumarating ito, habang patuloy na ginagamit ng operating system ang lumang server. Ihambing ang log sa iniuulat ng link, at magtiwala sa link.

Gumamit ng address na talagang sinasagot ng cloud network

Karaniwang sinasagot ng mga cloud network ang mga pribadong pangalan sa pamamagitan ng nakareserbang address na dalawang puwesto mula sa base ng range, kaya ang network na nagsisimula sa 10.0.0.0 ay sumasagot sa 10.0.0.2. Ang ilang provider ay naglalathala rin ng link-local na resolver na gumagana nang hindi alam ang range, na nakakatulong kapag ibang tao ang gumawa ng network. Tanungin nang direkta ang kandidatong address bago ito itulak sa kahit sino. Ang address na hindi resolver ay mukhang eksaktong pagtatapon ng firewall, dahil ang query ay hindi kailanman nakakakuha ng sagot.

Kung ang direktang query ay sumasagot mula sa loob ng network ngunit hindi sa tunnel, maayos ang resolver at hindi maayos ang landas sa pagitan ng dalawang punto. Inililipat ng resultang iyon ang imbestigasyon sa mga ruta, pagpapasa at mga patakaran sa pag-access sa halip na sa profile ng kliyente.

Hindi dinadala ng tunnel ang namespace

Dumadaan ang mga packet; hindi dumadaan ang mga pangalan. Kailangang sabihin sa bawat panig kung aling namespace ang nabibilang sa kabilang panig, at iyon ay hiwalay na bagay na pag-aari ng may hawak ng zone. Ang karaniwang anyo ay isang pagpapasa para sa isang namespace, nakaturo sa resolver na maaabot sa pamamagitan ng tunnel.

Sa pagsasagawa, kailangan ng bawat direksyon ang sariling patakaran, dahil ang panig na may-ari ng zone ang dapat magpadala ng query. Kailangan ng dalawang direksyon na ang pinagmulan ng query ay iruta at payagan, at ang panig na sumasagot ay dapat magbalik ng mga sagot sa pamamagitan ng tunnel sa halip na patungo sa internet. Panatilihing makitid ang pagpapasa, upang tanging ang pribadong namespace ang umaasa sa link. Ang pagpapadala ng bawat query sa pamamagitan nito ay ginagawang ganap na pagtigil ang maliit na dependency sa sandaling bumagsak ang tunnel.

Lakbayin ang mga hangganan sa pagkakasunod-sunod

Subukan ang resolver na naka-install sa aktibong link, pagkatapos ang direktang query sa resolver na iyon, pagkatapos ang parehong query mula sa malayong panig, at sa wakas ang application na gumagamit ng parehong pangalan. Ang bawat hakbang ay naghihiwalay ng isang hangganan, kaya ang kabiguan ay nagsasabi kung saan titingin sa halip na simulan muli ang imbestigasyon. Ang sagot na gumagana habang nabibigo ang application ay tumutukoy sa tiwala sa sertipiko o patakaran ng API sa halip na DNS. Ang mga depektong iyon ay totoo, at walang pagbabago sa resolver ang makakapag-ayos sa kanila.

Isulat kung aling hakbang ang nabigo. Ang nag-iisang linyang iyon ang kailangan ng susunod na tao, at tumatagal ng sampung segundo ang itala ito.

Itago ang kadena kung saan ito mahahanap ng susunod na tao

Itala ang itinulak na resolver, ang patakaran sa pagpapasa, ang pinapayagang pinagmulan ng query at ang sumasagot na endpoint sa isang lugar. Kapag nabigo muli ang pribadong pangalan, ipinapakita ng talaan kung gumalaw ang tunnel, nagbago ang address ng resolver, o pinakitid ang isang patakaran. Kung wala iyon, ang bawat insidente ay nagsisimula sa zero at nagtatapos sa parehong tatlong haka-haka.

Panatilihing sapat na maikli ang talaan upang manatiling tumpak: apat na linya, isang petsa, at ang pangalan ng may-ari ng bawat bahagi. Ang lumang talaan ay mas malala kaysa wala, dahil mukhang may awtoridad habang mali ito.