Xususiy DNS VPC ichida ishlaydi, lekin VPN orqali emas
EC2 ichida hal qilinadigan, lekin VPN orqali hal qilinmaydigan xususiy nom — bu, resolver yo'lining muammosi. Zona yozuvini tahrirlashdan oldin nosozlik shaklini o'qing.
Xususiy nom EC2 instansiyasidan hal qilinadi, lekin VPN orqali ulangan noutbukdan hal qilinmaydi va zona konsolda to'g'ri ko'rinadi. Birinchi turtki — yozuvni tahrirlash, bu esa deyarli hech qachon muammo emas. Yozuv kimgadir javob beradi; shunchaki noutbukingizga javob bermaydi. Ikki chaqiruvchi o'rtasidagi farq qaysi resolverdan so'rashlari va o'sha resolverning VPC ning DNS ko'rinishiga qo'llab-quvvatlanadigan yo'li bor-yo'qligidir.
Yozuvning mavjudligini isbotlashdan boshlayman, qolgan vaqtni so'rov yo'liga sarflayman. Bular alohida tizimlar va turli shakllarda ishlamay qoladi.
Biror narsani o'zgartirishdan oldin nosozlik shaklini o'qing
Uch natija uch xil narsani anglatadi va bitta so'rov ularni ajratadi: mijoz haqiqatan ishlatadigan resolverga qarshi nom uchun dig ishga tushiring.
| What you see | What it usually means | First thing to check |
|---|---|---|
| SERVFAIL, or a timeout after several seconds | No path to the resolver, or the resolver cannot reach AWS | Route to the endpoint and the security policy on port 53 |
| NXDOMAIN from a resolver that did answer | The resolver replied, but the zone is not in its view | Zone association or the forwarding rule for that namespace |
| A public address for an internal name | Split DNS is not in effect for this client | Which resolver the client is configured to use |
Taym-aut tarmoq haqidagi bayonotdir. NXDOMAIN DNS ko'rinishi haqidagi bayonotdir. Ommaviy javob siyosat haqidagi bayonotdir. Taym-aut paytida zona yozuvini tahrirlash ishdagi yagona foydali dalilni tashlab yuboradi.
Nega VPC dagi qo'shimcha ikki manzil masofaviy resolver emas
CIDR qo'shimcha ikki manzili VPC ichidagi resurslar uchun mahalliy xizmatdir. AWS mahalliy tarmoqlardan yoki boshqa VPC ning DNS serverlaridan so'rovlarni to'g'ridan-to'g'ri o'sha manzilga yo'naltirish qo'llab-quvvatlanmasligini va beqaror natijalar berishi mumkinligini hujjatlashtiradi.
Bu tajriba hech qachon ishlayotgandek ko'rinmaydi degani emas. Bu xatti-harakat qo'llab-quvvatlash skriptiga qo'yish mumkin bo'lgan shartnoma emas degani. Qo'llab-quvvatlanadigan yo'nalish — kiruvchi Resolver endpoint: VPC ingiz ichida, siz nazorat qiladigan tarmoqdan yetib boriladigan, AWS tashqarisidan kelgan so'rovlarni qabul qiladigan manzil jufti.
Yo'lni toza ishlamay qoladigan tartibda quring
Uch sakrash bo'lishi kerak va har birining o'z ishlamay qolish usuli bor.
VPN client -> approved DNS forwarder
forwarder -> forwarding rule for internal.example
forwarding rule -> Resolver inbound endpoint addressesYo'naltiruvchiga VPN orqali endpoint manzillariga marshrut kerak va qaytish yo'li ham ishlashi kerak. 53 portidagi an'anaviy DNS uchun endpoint UDP va TCP orqali javob beradi, shuning uchun ikkala protokolga ham ruxsat berilishi kerak va ikkalasi ham yo'ldagi har qanday holat tekshiruvidan o'tishi kerak.
Keyin DNS ko'rinishini alohida tekshiring. Xususiy joylashtirilgan zona faqat u bog'langan VPC larga yoki qasddan tuzilgan almashish kelishuviga ko'rinadi. Yetib boriladigan endpoint o'z-o'zidan har bir xususiy zonani o'z hal qilish kontekstida hal qilinadigan qilmaydi.
Chiquvchi endpoint qarama-qarshi yo'nalishga xizmat qiladi va noutbukingizdan kelgan so'rovga javob bermaydi.
Ikkala tomondan tekshiring
Mijozdan yo'naltiruvchiga, keyin yo'naltiruvchidan endpointga so'rov yuboring. Mijoz ishlamay qolib, yo'naltiruvchi muvaffaqiyatli bo'lsa, bo'shliq o'sha ikkisining orasida.
Ikkalasi ham ishlamay qolsa, endpointdagi xavfsizlik siyosatiga va u haqiqatan ko'radigan manba manziliga qarang. NAT orqasidagi yo'naltiruvchi noutbukning VPN manzili o'rniga NAT manzilini taqdim etadi va faqat shu farq so'rovni tashlash uchun yetarli. Ikkalasi ham muvaffaqiyatli bo'lsa-da ilova hali ham ishlamay qolsa, ilova siz sinaganidan boshqa resolverdan foydalanayotgan bo'lishi mumkin.
Ommaviy va xususiy nom fazolarini qasddan alohida saqlang. Split DNS — siz sozlaydigan siyosat, bitta qidiruvning tasodifan ma'lumot qaytarishining yon ta'siri emas.
Nima qilmasdim
Bitta qidiruvni ishlatib qo'ygan NAT qoidasini qo'shib, uni dizayn deb atamasdim.
Bitta test bir marta yozuv qaytardi deb har bir masofaviy mijozni qo'shimcha ikki manzilga yo'naltirmasdim. Va bitta yo'naltiruvchiga kirish kerak bo'lganda endpointning xavfsizlik siyosatini butun VPN hovuziga kengaytirmasdim. Agar tashkilot VPC ichida allaqachon tasdiqlangan yo'naltiruvchini yuritayotgan bo'lsa, avval o'sha dizaynni o'qing, chunki siz qo'shadigan ikkinchi endpoint — hech kim hujjatlashtirmaydigan o'sha.