Рекурсія недоступна: політика DNS, а не зламаний тунель

Внутрішнє ім'я розв'язується, і той самий сервер відповідає на зовнішнє ім'я відмовою щодо рекурсії. Це поєднання не суперечність. Публікація власних зон і розв'язування всього інтернету — дві окремі послуги, які сервер може пропонувати, і він може виконувати першу без другої. Сприймайте відмову як заяву про політику, потім перевірте, чи політика відповідає задуму.

Відмова і тайм-аут — різні відповіді

Запишіть ім'я, тип запиту, сервер, що відповів, статус і повернені записи. Попередження про рекурсію не скасовує автоматично авторитетну відповідь, що прийшла разом із ним. Запишіть статус до того, як його витлумачити. Статус, відновлений з пам'яті через годину, — це інший факт.

Заголовок DNS несе запит рекурсії та ознаку того, чи пропонує її сервер, а специфікація протоколу тримає ці прапорці окремо від даних відповіді. Тому відповідь може бути корисною і все ж нести скаргу. Тайм-аут, негативна відповідь і відмова — три різні результати. Кожен указує на інший шар, і лише відмова — це сервер, який говорить вам про політику.

Спочатку прочитайте код статусу, потім вирішіть, чи важливе попередження для цього запиту. Авторитетна відповідь, що називає зону, придатна до використання навіть коли рекурсивний біт відхилено. Відмова без відповіді — результат політики, а не зламаний шлях пакетів.

Що розв'язувач записав як ваше джерело

Клієнт може приходити з пулу адрес поза дозволеними рекурсивними діапазонами сервера, або трансляція може зробити його схожим на шлюз. Власна адреса адаптера клієнта не є доказом того, що отримав розв'язувач. Запитайте адміністратора сервера про спостережене джерело, замість того щоб виводити його зі свого боку шляху. Дві адреси можуть відрізнятися на кожному кроці, що транслює.

Запитайте те саме ім'я з клієнта і з хоста, якому сервер уже довіряє. Різниця між двома відповідями — це умова джерела, і вона корисніша за будь-яку з відповідей окремо.

dig +short host.corp.example
dig +short example.com

Якщо розгортання хоче рекурсію для клієнтів VPN, адміністратор авторизує відповідний діапазон джерел через власні засоби сервера. Відкрити рекурсію для всієї мережі, щоб пройшов один тест, — значно більша зміна, ніж та, що перевіряється. Запишіть авторизований діапазон поруч із правилом, бо наступний рецензент запитає, яким джерелам мала служити політика. Діапазон джерел без власника — це шлях, яким тимчасовий тест стає постійним.

Розділений DNS — це задум, а не несправність

Деякі розгортання надсилають лише робочі домени до приватного розв'язувача, а все інше — до іншого схваленого розв'язувача. Це задум маршрутизації запитів, і він не доводить, що приватному серверу потрібна вільніша політика. За такого задуму зовнішнє ім'я, що не розв'язалося через приватний розв'язувач, — це передбачений результат, а не несправність. Відмова — це задум, що працює, а не симптом, який треба придушувати.

Публічний розв'язувач може повернути перегляд, але зламати внутрішні імена або надіслати приватні запити туди, куди їм не можна. Запишіть передбачувану поведінку до того, як змінювати будь-яку адресу розв'язувача.

Перевірте політику двома запитами

Після передбаченого виправлення запитайте дозволене приватне ім'я та зовнішнє ім'я з фактичного клієнта. Те, що повернеться, має бути тим, що обіцяє політика, а не просто тихішою діагностикою. Запишіть сервер, що відповів, при кожній відповіді, потім порівняйте пару з політикою. Порівняння і є тест, а один успішний пошук — ні.

resolvectl query host.corp.example
resolvectl query example.com

Якщо приватне ім'я працює, а публічне відхиляється, політика робить те, що каже. Якщо приватне ім'я теж не працює, проблема в зоні, маршруті або авторизації джерела, і рекурсія — відволікання. Обидва результати корисні, і кожен виключає половину решти гіпотез.

Читайте відмову як доказ

Відмова — це відповідь. Вона означає, що сервер отримав запит і відмовився виконувати запитану роботу, що відрізняється від пакета, який так і не прийшов. Ця різниця і є весь діагноз. Запишіть її як відповідь, а не як збій зв'язності.

Ця різниця підказує, де дивитися: у журналах сервера, його політиці доступу та записаному джерелі. Зміна брандмауера не виправить відмову політики, а зміна політики не виправить відсутній маршрут. Тримайте дві гіпотези окремо, доки одна з них не матиме доказу.

Запишіть результат і власника політики в заявку, щоб наступна людина почала з рішення, а не з попередження. Назвіть авторизований діапазон джерел і два імені, які ви перевірили. Заявку з цими трьома фактами можна запустити знову; ту, що каже "рекурсія зламана", — ні.