Ulat ng DNS sa VPN: ano ang isasama upang ito ay maulit

Ang «sira ang DNS» ay isang konklusyon, at hindi ito konklusyong maaaring pagbatayan ng isang katulong. Ang kapaki-pakinabang na bahagi ng ulat ay ang hugis ng pagpalya: aling pangalan, sa aling resolver, at anong tugon. Tatlong detalye ang nagpapabago sa isang reklamo tungo sa isang bagay na maaaring maulit, at ang tatlo ay ligtas na ibahagi kapag napalitan na ang mga pribadong bahagi. Ang sumusunod ay ang pinakamababa na kailangan ng ulat ng DNS sa VPN bago makatulong ang sinuman.

Kategorya ng pangalan, hindi hatol

Magsimula sa pangalan mismo at uriin ito: pampubliko, panloob, maikli, ganap na kwalipikado, o pinaglilingkuran ng isang partikular na hulapi. Ang panloob na pangalan na pumapalya habang nagreresolba ang pampublikong pangalan ay tumuturo sa pagpili ng resolver, hindi sa pag-abot. Kung lahat ng pangalan ay pumapalya, tumuturo iyon sa landas patungo sa resolver, na isa pang imbestigasyon na may ibang ebidensya. Ang kategorya ang nagdadala ng diagnosis, at ang eksaktong string ay maaaring itago.

Sabihin kung ang pagpalya ay nangangailangan ng nakaangat na tunnel, o nangyayari pagkatapos itong mawalan ng koneksyon. Ang pangalang nasisira lamang habang aktibo ang VPN ay nagpapahiwatig ng konfigurasyon sa bawat link, samantalang ang nasisira pagkatapos ng pagkadiskonekta ay nagpapahiwatig ng natirang estado. Karaniwang iniiwan ng mga ulat ito at pagkatapos ay nagtataka kung bakit hindi tumutulong ang unang suhestiyon.

Itala ang landas ng resolver

Ang query na ipinadala sa tahasang piniling server at ang ordinaryong paghahanap ng isang aplikasyon ay magkaibang eksperimento. Sabihin kung alin ang gumawa ng pagpalya, dahil ang manuwal na query sa gumaganang server ay nagpapatunay lamang na gumagana ang server. Hinihiwalay ng mga utos sa ibaba ang landas ng sistema mula sa direktang tanong.

resolvectl status --no-pager
getent hosts host.internal
dig +short host.internal @10.20.30.53

Pinapangalanan ng output ng status ang mga server sa bawat link at ang mga routing domain, ibig sabihin, kung saan pinagpapasyahan ang split DNS. Sinusundan ng tawag sa getent ang parehong landas na tinatahak ng aplikasyon, kabilang ang ayos ng nsswitch. Ang direktang query ay lumalampas sa dalawa at sinusubok ang isang server nang hiwalay. Iulat kung alin sa tatlo ang pumalya at alin ang nagtagumpay, at hindi na kailangang hulaan ng mambabasa ang landas.

Isaaad ang kontroladong paghahambing

Palitan ang isang variable at sabihin kung ano ang nagbago. Ang pagresolba ng pampublikong pangalan habang pumapalya ang panloob ay problema sa pagpili; ang pag-expire ng bawat pangalan ay problema sa landas; at ang pribadong pangalan na nagreresolba sa pampublikong address ay pagtagas sa maling resolver. Dalawa sa tatlong iyon ay walang kinalaman sa kung nakaangat ang tunnel. Ang ulat na nagsasabing sira ang lahat ng query ay karaniwang may paghahambing na hindi kailanman isinagawa.

Ihiwalay ang pagresolba sa paghahatid. Kapag nagresolba ang pangalan at pumapalya pa rin ang site, nagtagumpay ang yugto ng DNS at dapat sabihin iyon ng ulat, dahil ang susunod na hakbang ay isang ruta o isang tagapakinig, hindi isang resolver. Ang nag-iisang pagkakaibang iyon ay mas madalas na nagtitipid ng isang buong ikot ng tanong kaysa sa anumang sipi ng log.

Itago ang namespace, panatilihin ang mga kaugnayan

Mapapalitan ang mga panloob na pangalan, hangga’t pinapanatili ng mga kapalit ang istruktura. I-map ang bawat natatanging server at hulapi sa isang matatag na label, at itago ang mapping na iyon sa labas ng ibinahaging kopya. Ang pagpapalit ng bawat panloob na host ng parehong placeholder ay sumisira sa mismong ebidensyang kailangan ng ulat, dahil hindi na nakikita ng mambabasa na nagresolba ang isang hulapi at ang isa ay hindi. Ganoon din ang tuntunin sa mga address: panatilihin ang mga kaugnayan ng prefix at baguhin ang mga bit ng host kung hinihingi ito ng patakaran.

Ipadala ang talaan sa beripikadong channel at iwanan ang hindi kailanman kailangan ng diagnosis. Ang mga password, pribadong susi at walang kaugnayang pangalan ng kumpanya ay hindi bahagi ng tanong sa DNS. Ang kailangan ng mambabasa ay ang kategorya ng pagpalya, landas ng resolver, eksaktong error at ang nag-iisang paghahambing na ginawa mo.