Nega xususiy Route 53 zonasi ommaviy nomlar uchun NXDOMAIN qaytaradi

Xususiy Route 53 zonalari ommaviy yozuv bilan qo'shilish o'rniga nomning javobini almashtiradi va bu odamlarni eng yomon paytda hayratda qoldiradi. Bitta ichki yozuv qo'shing: api.example.net uchun quyidagi xususiy zonada: example.net zonaga qo'shing, uni VPC bilan bog'lang, va o'sha ota ostidagi boshqa barcha nomlar endi faqat xususiy zonadan javob oladi. Kecha www.example.net manziliga yeta olgan mijoz bugun salbiy javob oladi. Quyidagi tahlil o'sha muvaffaqiyatsiz so'rovdan boshlanib, unga javob bergan zona tomon tashqariga chiqadi.

Konsoldan emas, so'rovdan boshlang

Xatoni uni xabar qilgan mijozda qayta hosil qiling va aniq nom hamda yozuv turini yozib oling. A turi uchun muvaffaqiyatsiz bo'lgan nom AAAA turi uchun hali ham hal bo'lishi mumkin, va keshlangan nomni qayta sinab ko'radigan brauzer qaysi biri buzilganini yashiradi. So'rovni ikki marta bajaring: bir marta mijoz haqiqatan ishlatadigan resolver orqali, bir marta uni chetlab o'tuvchi kuzatuv bilan.

dig +short api.example.net
dig www.example.net +noall +comments +authority
resolvectl query www.example.net

Ikkinchi buyruq muhim. Uning holat satri va authority bo'limi javobni yaratgan zonani nomlaydi, shuning uchun xususiy zonadan kelgan salbiy javobni taym-aut, bloklangan port yoki so'rovni hech qachon olmagan resolverdan ajrata olasiz. resolvectl qaysi yuqori serverdan so'ralganini ko'rsatadi va bu ko'pincha siz o'ylagan VPN yuborgan resolver emas.

Agar kuzatilgan so'rov ommaviy manzilni qaytarsa, oddiy so'rov qaytarmasa, ommaviy yozuv butun va javob berayotgani xususiy ko'rinishdir. Aynan shu bitta taqqoslash ushbu sahifaning qolgan qismining qaysi yarmi sizga tegishli ekanini hal qiladi.

Qaysi zona javob berganini o'qing

Quyidagini olib keluvchi javob: NXDOMAIN va authority bo'limida xususiy zonaning SOA bo'lsa, bu o'sha zonaning yakuniy javobi, muvaffaqiyatsiz qidiruv emas. Route 53 Resolver xususiy xosting zonasini nom mos kelgani uchun tanladi, so'ng so'ralgan turdagi yozuvni topmadi va hujjatlashtirilgan xatti-harakat savolni ommaviy DNS ga uzatish o'rniga salbiy javobni qaytarishdir.

Tanlov aniqlikka ergashadi. Bir nechta xususiy nom maydonlari ustma-ust tushganda eng aniq mos keluvchi zona g'alaba qozonadi va kengroq xususiy ota tanlangan bola zonada yo'q nom uchun ikkinchi imkoniyat olmaydi. Uzatish qoidalari yana bir qatlam qo'shadi, chunki domenga xos Resolver qoidasi xususiy xosting zonasi bog'lanishidan ustun bo'lishi mumkin. Zona bo'sh degan xulosaga kelishdan oldin bog'lanishlar va qoidalarni sanab chiqing.

aws route53 list-hosted-zones-by-name --dns-name example.net.
aws route53 list-resource-record-sets --hosted-zone-id Z0EXAMPLEID --query "ResourceRecordSets[?Type=='A'].[Name,ResourceRecords[0].Value]"

Ikkala buyruq ham zonaga egalik qiluvchi hisobning hisob ma'lumotlarini talab qiladi, ikkinchisiga birinchisidan olingan zona ID kerak. Uni o'z IDingiz bilan almashtiring; yuqoridagi to'ldiruvchi ataylab haqiqiy emas.

Nega xususiy zona g'alaba qozonadi

Zonani VPC uchun ko'rinadigan qiladigan narsa bog'lanish, va o'sha VPC dagi resolver uni qo'llaydi. Mijoz trafigi keladigan VPC bilan bog'lanmagan xususiy zonaning umuman ta'siri yo'q, noto'g'ri VPC bilan bog'lanish esa noto'g'ri aholi uchun xususiy javob yaratadi. Yozuvlarni tahrirlashdan oldin bog'lanishlar ro'yxatini tekshiring, chunki zona to'g'ri bo'lib, baribir ko'rinmasligi mumkin.

Ustma-ust tushuvchi nom maydonlari chalkashlikning ikkinchi manbai. example.net uchun xususiy zona va api.example.net uchun xususiy zona ikkisi ham API so'roviga mos keladi, va aniqrog'i javob beradi. Bu tor ichki nom maydoni kerak bo'lganda foydali, tor zonada kengroqda mavjud yozuv yetishmasa esa xavfli. Xususiy xosting zonalari haqidagi mulohazalar Route 53 hujjatlarida pastga tushish xatti-harakatini ham, qoidalar ustunligini ham tavsiflaydi, va ikkinchi ustma-ust tushuvchi zonani qo'shishdan oldin ularni o'qishga arziydi.

Bularning hech biri ommaviy zonani o'zgartirmaydi. Ommaviy resolverlar ommaviy yozuvlarga hali ham to'g'ri javob beradi, shuning uchun VPC tashqarisidagi hamma uchun bu xatolik mijoz muammosidek ko'rinadi.

Yozuvlarni qo'shishdan oldin nom maydonini tanlang

Agar faqat ichki xizmatlarning yangi oilasi xususiy nomlarga muhtoj bo'lsa, unga bag'ishlangan xususiy subdomen bering va ommaviy otani tinch qoldiring. internal.example.net kabi nom www.example.net ni soyada qoldira olmaydi, va yo'q yozuvning ta'sir doirasi shu maqsad uchun o'ylab topgan nomlaringiz bilan cheklanadi. Narxi shundaki, mavjud URL va sertifikatlar yangi nomga mos kelmasligi mumkin.

Ommaviy va xususiy foydalanuvchilar bir xil xost nomini saqlashi kerak bo'lsa, bo'lingan ko'rinishli DNS qo'llab-quvvatlanadigan dizayn va u har bir ko'rinishda yozuvlarni aniq saqlashni talab qiladi. Bitta yozuvli keng xususiy zona o'sha zona ostidagi ommaviy bog'liqliklarni saqlamaydi; ularni bitta yozuvli zona bilan almashtiradi.

Mijoz aholisini xususiy ko'rinishga yo'naltirishdan oldin ilova haqiqatan chaqiradigan nomlarni sanab chiqing. Kirish xostlari, statik aktivlar xostlari, qayta yo'naltirish maqsadlari va API so'nggi nuqtalari birinchi buziladi, va ular odatda bir nechta jamoalarning yozuvlarida tarqalgan.

Resolver yo'lini, so'ng marshrutni kuzatib boring

Noutbuk xususiy ko'rinishni faqat uning so'rovlari bog'lanishga ega resolverga yetganda ko'radi. VPN serveridagi hosts faylini tahrirlash ulangan mijozlarga hech narsa e'lon qilmaydi, va ommaviy resolver bilan sozlangan mijoz tunnel ko'tarilgan ekan ommaviy javoblarni olishda davom etadi. Mijoz olgan resolver manzilini tasdiqlang, so'ng so'rovni serverdan emas, mijozdan qayta bajaring.

Nom hal bo'lgach, qaytarilgan manzilgacha bo'lgan yo'lni alohida qadam sifatida sinab ko'ring, masalan ip route get bilan so'rov qaytargan manzilga qarshi. Manzilgacha marshrutsiz to'g'ri xususiy javob marshrutlash muammosi, yozuv yo'qligi haqidagi javob esa DNS ko'rinishi muammosi; ikkalasini bitta muammo deb hisoblash barqaror bo'lmagan tuzatishlar keltiradi. Xizmatning TLS xost nomi va sertifikat tekshiruvlarini o'zgartirmasdan qoldiring, chunki xususiy manzil ulanish qayerga ketishini o'zgartiradi, qaysi sertifikat haqiqiy ekaniga hech narsa emas.

O'zgartirish eslatmasida zonani, bog'lanishni, resolverni va tekshirgan nomlaringizni yozib tugating. Shunda keyingi marta yozuv qo'shuvchi o'sha mijoz aholisi uchun qaysi nom maydoni vakolatli ekanini biladi.