VPN orqali NXDOMAIN tunnelning uzilishini bildirmaydi

Bitta muvaffaqiyatsiz so‘rovni tunnel qulaganining isboti deb o‘qish jozibador, ayniqsa nom o‘n daqiqa oldin ishlagan bo‘lsa. Javob boshqacha aytadi. NXDOMAIN — hal qiluvchi so‘ralgan nom mavjud emasligini e’lon qilgan tugallangan DNS tranzaksiyasi; buzilgan tunnel odatda sukunat, vaqt tugashi yoki noto‘g‘ri serverga qarshi hal qilish urinishini keltirib chiqaradi. wireshark’siz dalil varianti — bitta so‘rov, bitta javob beruvchi va bitta javob kodi, va har qanday konfiguratsiya o‘zgarishidan oldin bu uchtalikni yozib olishga arziydi.

Javob aslida nimani isbotlaydi

DNS mijozlar ko‘pincha bitta xatoga birlashtiradigan natijalarni ajratadi. Mavjud bo‘lmagan nom NXDOMAIN kodi bilan salbiy javob beradi, mavjud bo‘lib, so‘ralgan turdagi yozuvi yo‘q nom esa bo‘sh javob bo‘limi bilan muvaffaqiyatli javob beradi. Ikkalasi ham ilovaga foydasiz ko‘rinadi va faqat bittasi nom xato ekanini bildiradi.

Bu farq tuzatish qayerga tegishli ekanini hal qiladi. A yozuvi bor xostda AAAA yozuvining yo‘qligi xostning yo‘qligi emas, va uning ortidan quvish uchun sertifikatni qayta berish yoki tunnelni qayta qurish mavjud bo‘lgan yagona izni behuda sarflaydi. Farq keyingi qadamning shaklini ham belgilaydi: nomlash muammosi zonada tuzatiladi, tur muammosi esa to‘g‘ri yozuvni so‘rash yoki manzil oilasi shunchaki yo‘qligini qabul qilish bilan tuzatiladi.

Afsona: shaxsiy nomning yo‘qligi tunnel ishlamaganini bildiradi

Afsona yashaydi, chunki bu ikki voqea tez-tez birga keladi. Mijoz VPN’ga ulanadi, operatsion tizim allaqachon ishongan hal qiluvchini saqlaydi va endi kerak bo‘lgan ichki nom shaxsiy zona haqida hech qachon eshitmagan serverdan so‘raladi. O‘sha server halol va salbiy javob beradi. Tunnel paketni tashimoqda; javob faqat javob beruvchi xizmat ko‘rsatmaydigan nom maydoni haqida.

Split-horizon sozlamalari buni odatiy holga aylantiradi: bir xil zona nomi ochiq va ichki ravishda turli mazmun bilan mavjud, va shaxsiy yozuvlarni faqat ichki hal qiluvchi biladi. Shuning uchun obro‘li ko‘rinadigan salbiy javob olish qaysi hal qiluvchi javob berganining isboti, interfeys holatining isboti emas.

Natijani ikkita konfiguratsiya tafsiloti hal qiladi. Tunnel ichki hal qiluvchini itarishi yoki tanlashi kerak, va mijoz bu tanlovni izlanayotgan nomga qo‘llashi kerak. Siz kiritgan yozuvdan biroz farq qiladigan qo‘shimchani nomlaydigan har bir domen qoidasi so‘rovni ochiq yo‘lga yuboradi, va javob to‘g‘ri, ammo foydasiz bo‘ladi.

To‘g‘ri nom bilan to‘g‘ri hal qiluvchidan so‘rang

Hukmni yozishdan oldin javob beruvchini yozib oling. Qaysi server javob berganini ko‘rsatmaydigan so‘rov siyosat muammosini nom maydoni muammosidan ajrata olmaydi, va ikkalasining tuzatishlari bog‘liq emas.

resolvectl query vpn.internal.example
resolvectl status | grep -A3 'DNS Servers'
dig +search app.intranet.example A
dig @10.8.0.1 app.intranet.example A

Birinchi ikki satr mahalliy hal qiluvchi nima qaror qilganini va kimdan so‘rashini ko‘rsatadi. +search so‘rovi ilova qidiruv qo‘shimchasini qo‘shganda nima qilishini qayta hosil qiladi, bu ko‘pincha diagnostika vositasiga kiritilgan so‘rov emas, haqiqiy so‘rovdir. Oxirgi satr mijoz siyosatini chetlab o‘tib, ichki serverdan bevosita so‘raydi; agar bu muvaffaqiyatli bo‘lib, oddiy so‘rov muvaffaqiyatsiz bo‘lsa, zona joyida, so‘rovlarning marshrutlanishi esa joyida emas.

Salbiy keshlash tuzatishdan keyingi kechikishni tushuntiradi

Salbiy javoblar dizayn bo‘yicha keshlanadi va RFC 2308 salbiy kesh umrining zona vakolat yozuvidan qanday olinishini tavsiflaydi. Shuning uchun yozuv yoki hal qiluvchi qoidasini tuzatish mijozda darhol o‘zgarish bo‘lishini kafolatlamaydi, va keshlangan javobni qaytaraveradigan so‘rovni takrorlash yangi narsani isbotlamaydi. Faqat boshqa javob beruvchi, boshqa nom yoki tozalangan kesh yangi dalil beradi.

Mahalliy keshni tozalang, so‘ngra o‘sha javob beruvchiga o‘sha so‘rovni takrorlang. Mahalliy hal qiluvchi xizmatidan foydalanadigan tizimlarda bu bitta buyruq; boshqalarida bu xizmatni qayta ishga tushirish yoki platforma vositasi, va aniq vosita keyin bir xil sinovni takrorlashdan kamroq muhim.

Nomni yo‘ldan ajrating

Nom kutilgan shaxsiy manzilga hal bo‘lgach, DNS mavzu sifatida tugaydi va keyingi savol ilova yo‘li bo‘ladi. So‘rovlarga javob beradigan, ammo ulanishni rad etadigan xostning muammosi boshqa, va to‘g‘ri javobdan keyin ham hal qiluvchilarni sozlashda davom etish hodisaning uchta bog‘liq bo‘lmagan o‘zgarishga ega bo‘lish yo‘lidir. Ikkalasi mos keladi deb o‘ylashdan oldin hal bo‘lgan manzilni xizmat haqiqatda tinglayotgan manzil bilan solishtiring.

Yozuvni saqlang: so‘rov, javob beruvchi, kod va hal bo‘lgan manzil. O‘sha yozuv keyingi hisobotni tekshiriladigan qiladi, va u tashxis bilan sekin ko‘ringan tunnel haqidagi hikoya o‘rtasidagi farqdir.