Özel DNS VPC içinde çalışıyor ama VPN üzerinden çalışmıyor
EC2 içinde çözülen ama VPN üzerinden çözülmeyen özel bir ad, bir çözümleyici yolu sorunudur. Bölge kaydını düzenlemeden önce arıza biçimini okuyun.
Özel bir ad EC2 örneğinden çözülüyor ama VPN üzerinden bağlanan bir dizüstünden çözülmüyor ve bölge konsolda doğru görünüyor. İlk dürtü kaydı düzenlemektir, ki bu neredeyse hiçbir zaman sorun değildir. Kayıt birine yanıt veriyor; sadece sizin dizüstünüze yanıt vermiyor. İki çağıran arasındaki fark, hangi çözümleyiciye sordukları ve o çözümleyicinin VPC'nin DNS görünümüne desteklenen bir yolu olup olmadığıdır.
Kaydın var olduğunu kanıtlayarak başlıyorum, zamanın geri kalanını sorgu yoluna ayırıyorum. Bunlar ayrı sistemlerdir ve farklı biçimlerde başarısız olurlar.
Herhangi bir şeyi değiştirmeden önce arıza biçimini okuyun
Üç sonuç üç farklı şey demektir ve tek bir sorgu bunları ayırır: istemcinin gerçekten kullandığı çözümleyiciye karşı ad için dig çalıştırın.
| What you see | What it usually means | First thing to check |
|---|---|---|
| SERVFAIL, or a timeout after several seconds | No path to the resolver, or the resolver cannot reach AWS | Route to the endpoint and the security policy on port 53 |
| NXDOMAIN from a resolver that did answer | The resolver replied, but the zone is not in its view | Zone association or the forwarding rule for that namespace |
| A public address for an internal name | Split DNS is not in effect for this client | Which resolver the client is configured to use |
Zaman aşımı ağ hakkında bir ifadedir. NXDOMAIN, DNS görünümü hakkında bir ifadedir. Genel bir yanıt politika hakkında bir ifadedir. Zaman aşımı varken bölge kaydını düzenlemek, davadaki tek yararlı kanıtı çöpe atar.
VPC'nin artı iki adresi neden uzak bir çözümleyici değildir
CIDR artı iki adresi, VPC içindeki kaynaklar için yerel bir hizmettir. AWS, şirket içi ağlardan veya başka bir VPC'nin DNS sunucularından gelen sorguların doğrudan bu adrese iletilmesinin desteklenmediğini ve kararsız sonuçlar üretebileceğini belgeler.
Bu, bir deneyin asla çalışıyor gibi görünmeyeceği anlamına gelmez. Davranışın bir yardım masası betiğine konabilecek bir sözleşme olmadığı anlamına gelir. Desteklenen yön, gelen bir Resolver uç noktasıdır: VPC'nizin içinde, kontrol ettiğiniz ağdan erişilebilen ve AWS dışından gelen sorguları kabul eden bir adres çifti.
Yolu temiz başarısız olduğu sırayla kurun
Üç atlama olmalıdır ve her birinin kendi başarısızlık biçimi vardır.
VPN client -> approved DNS forwarder
forwarder -> forwarding rule for internal.example
forwarding rule -> Resolver inbound endpoint addressesİleticinin VPN üzerinden uç nokta adreslerine bir rotaya ihtiyacı vardır ve dönüş yolu da çalışmalıdır. 53 numaralı bağlantı noktasındaki geleneksel DNS için uç nokta UDP ve TCP üzerinden yanıt verir, bu yüzden her iki protokole de izin verilmeli ve her ikisi de aradaki herhangi bir durum denetiminden sağ çıkmalıdır.
Sonra DNS görünümünü ayrıca kontrol edin. Özel bir barındırılan bölge yalnızca ilişkilendirildiği VPC'lere veya bilinçli bir paylaşım düzenlemesine görünür. Erişilebilir bir uç nokta tek başına her özel bölgeyi kendi çözümleme bağlamında çözülebilir kılmaz.
Giden bir uç nokta ters yöne hizmet eder ve dizüstünüzden gelen bir sorguya yanıt vermez.
Her iki uçtan da doğrulayın
İstemciden ileticiye, sonra ileticiden uç noktaya sorgulayın. İstemci başarısız olurken iletici başarılı oluyorsa, boşluk bu ikisi arasındadır.
İkisi de başarısız olursa, uç noktadaki güvenlik politikasına ve gerçekte gördüğü kaynak adrese bakın. NAT arkasındaki bir iletici, dizüstünün VPN adresi yerine NAT adresini sunar ve bu fark tek başına sorguyu düşürmeye yeter. İkisi de başarılı olur ama uygulama hâlâ başarısız olursa, uygulama test ettiğinizden farklı bir çözümleyici kullanıyor olabilir.
Genel ve özel ad alanlarını bilerek ayrı tutun. Split DNS, yapılandırdığınız bir politikadır, tek bir aramanın tesadüfen veri döndürmesinin yan etkisi değildir.
Ne yapmazdım
Tek bir aramanın çalışmasını sağlayan bir NAT kuralı ekleyip buna tasarım demezdim.
Bir test bir kez bir kayıt döndürdü diye her uzak istemciyi artı iki adresine yönlendirmezdim. Ve tek bir ileticinin erişime ihtiyacı varken uç noktanın güvenlik politikasını tüm VPN havuzuna genişletmezdim. Kuruluş VPC içinde zaten onaylı bir iletici çalıştırıyorsa, önce o tasarımı okuyun, çünkü eklediğiniz ikinci uç nokta kimsenin belgelemediği olandır.