Rekursiya mavjud emas: DNS siyosati, buzilgan tunnel emas

Ichki nom hal qilinadi va ayni server tashqi nomga rekursiya haqida rad javobi beradi. Bu birikma qarama-qarshilik emas. O'z zonalarini e'lon qilish va butun internetni hal qilish server taklif qilishi mumkin bo'lgan ikki alohida xizmatdir va u birinchisini ikkinchisisiz bajara oladi. Rad javobini siyosat bayonoti deb qabul qiling, so'ng siyosat loyihaga mos kelishini tekshiring.

Rad javobi va vaqt tugashi ikki xil javob

Nom, so'rov turi, javob bergan server, holat va qaytarilgan yozuvlarni yozib oling. Rekursiya ogohlantirishi u bilan kelgan vakolatli javobni avtomatik bekor qilmaydi. Holatni izohlashdan oldin yozib qo'ying. Bir soatdan keyin xotiradan qayta tiklangan holat boshqa fakt.

DNS sarlavhasi rekursiya uchun so'rov va server uni taklif qiladimi degan ko'rsatkichni olib yuradi, va protokol spetsifikatsiyasi bu bayroqlarni javob ma'lumotlaridan alohida saqlaydi. Shuning uchun javob foydali bo'lishi va baribir shikoyat olib yurishi mumkin. Vaqt tugashi, salbiy javob va rad javobi uch xil natijadir. Har biri boshqa qatlamga ishora qiladi va faqat rad javobi serverning sizga siyosat haqida aytishidir.

Avval holat kodini o'qing, keyin ogohlantirish bu so'rov uchun muhimmi yoki yo'qmi qaror qiling. Zonani nomlaydigan vakolatli javob rekursiv bit rad etilganda ham ishlatiladi. Javobsiz rad javobi siyosat natijasi, buzilgan paket yo'li emas.

Hal qiluvchi sizning manbangiz sifatida nima yozdi

Mijoz serverning ruxsat etilgan rekursiv diapazonlaridan tashqaridagi manzillar hovuzidan kelishi mumkin yoki tarjima uni shlyuzga o'xshatib ko'rsatishi mumkin. Mijozning o'z adapter manzili hal qiluvchi nima olganiga dalil emas. Yo'lning o'z tomoningizdan xulosa chiqarish o'rniga server administratoridan kuzatilgan manbani so'rang. Ikki manzil tarjima qiladigan har bir sakrashda farq qilishi mumkin.

Ayni nomni mijozdan va server allaqachon ishonadigan xostdan so'rang. Ikki javob orasidagi farq manba sharti bo'lib, u har qanday bitta javobdan foydaliroq.

dig +short host.corp.example
dig +short example.com

Agar joylashtirish VPN mijozlari uchun rekursiya xohlasa, administrator serverning o'z boshqaruvlari orqali tegishli manba diapazonini avtorizatsiya qiladi. Bitta test o'tishi uchun rekursiyani har bir tarmoqqa ochish sinovdan o'tkazilayotgan o'zgarishdan ancha katta. Avtorizatsiya qilingan diapazonni qoida yoniga yozing, chunki keyingi ko'rib chiquvchi siyosat qaysi manbalarga xizmat qilishi kerakligini so'raydi. Egasi yo'q manba diapazoni vaqtinchalik testning doimiy bo'lish yo'lidir.

Bo'lingan DNS loyiha, nosozlik emas

Ba'zi joylashtirishlar faqat ish domenlarini xususiy hal qiluvchiga, qolganini boshqa tasdiqlangan hal qiluvchiga yuboradi. Bu so'rovlarni yo'naltirish loyihasi bo'lib, xususiy serverga erkinroq siyosat kerakligiga dalil emas. Bu loyihada xususiy hal qiluvchi orqali tashqi nomning muvaffaqiyatsiz bo'lishi ko'zda tutilgan natija, nosozlik emas. Rad javobi loyihaning ishlashi, bostirilishi kerak bo'lgan alomat emas.

Ommaviy hal qiluvchi ko'rishni qaytarishi mumkin, lekin ichki nomlarni buzadi yoki xususiy so'rovlarni borishi mumkin bo'lmagan joyga yuboradi. Har qanday hal qiluvchi manzilini o'zgartirishdan oldin ko'zda tutilgan xatti-harakatni yozing.

Siyosatni ikki so'rov bilan tekshiring

Ko'zda tutilgan tuzatishdan keyin haqiqiy mijozdan ruxsat etilgan xususiy nomni va tashqi nomni so'rang. Qaytgan narsa siyosat va'da qilgan narsa bo'lishi kerak, faqat tinch diagnostika emas. Har bir javob bilan javob bergan serverni yozing, so'ng juftni siyosat bilan solishtiring. Solishtirish - test, va bitta muvaffaqiyatli qidiruv emas.

resolvectl query host.corp.example
resolvectl query example.com

Agar xususiy nom ishlasa va ommaviy nom rad etilsa, siyosat aytganini qiladi. Agar xususiy nom ham muvaffaqiyatsiz bo'lsa, muammo zonada, yo'lda yoki manba avtorizatsiyasida, va rekursiya chalg'itishdir. Ikkala natija ham foydali va har biri qolgan yarim taxminlarni istisno qiladi.

Rad javobini dalil sifatida o'qing

Rad javobi - javob. Server so'rovni olganini va talab qilingan ishni bajarishdan bosh tortganini bildiradi, bu hech qachon kelmagan paketdan farq qiladi. Bu farq butun diagnostika. Uni javob sifatida qayd eting, ulanish nosozligi sifatida emas.

Bu farq qayerga qarashni aytadi: server jurnallari, uning kirish siyosati va qayd etilgan manba. Xavfsizlik devori o'zgarishi siyosat rad javobini tuzatmaydi, siyosat o'zgarishi esa yo'qolgan yo'lni tuzatmaydi. Ikki taxminni birida dalil bo'lgunga qadar alohida saqlang.

Natijani va siyosat egasini biletda yozing, keyingi odam ogohlantirishdan emas, qarordan boshlaydi. Avtorizatsiya qilingan manba diapazonini va siz tekshirgan ikki nomni ko'rsating. Shu uch faktli biletni qayta ishga tushirish mumkin; "rekursiya buzilgan" degan biletni esa mumkin emas.