Ikki sayt, bitta xususiy DNS zonasi: yozuvlar kimga tegishli?

Yashil saytda xost qo'shasiz, u yashil foydalanuvchilar uchun hal qilinadi, sariq ofis esa hali ham NXDOMAIN oladi. Bu VPN nosozligi ham, buzilgan hal qiluvchi ham emas; bu xususiy zona ichidagi egalik bo'shligi. Alohida tahrirlangan ikki yozuv ro'yxati saytlar bir-biriga yeta olishi sababli bitta zonaga aylanmaydi. Yechim e'lon qilish rejasi, yana bitta xavfsizlik devori qoidasi emas.

Simptom yetishmayotgan egasini nomlaydi

Har bir saytda, ehtimol, kimdir nom kerak bo'lganda qo'shgan mahalliy bekor qilish, Pi-hole yozuvi yoki dnsmasq satri bor. Yashil yozuv faqat yashil hal qiluvchida mavjud, shuning uchun sariqdagi mijoz o'z hal qiluvchisidan so'raydi va haqiqiy "bunday nom yo'q" javobini oladi. Eskirgan javob boshqacha ko'rinadi: xost ko'chdi, bir sayt o'z nusxasini yangiladi, ikkinchisi esa hali ham eski manzilni qaytaradi.

Hech bir naqsh keshni tozalash bilan uzoq vaqt tuzatilmaydi. Yo'naltiruvchi hal qiluvchining keshi bir vaqtlar olgan javobining nusxasi, yangi nomlarni e'lon qiluvchi vakolat emas, shuning uchun bugun ishlaydigan kesh ertangi xost haqida hech narsa demaydi. BIND hujjatlari asosiy, ikkilamchi, rekursiv va yo'naltiruvchi rollarni aynan shu sabab bilan alohida tavsiflaydi.

Shunday qilib, dizayn savoli tor va javob berish mumkin: yozuvni kim yaratishi mumkin va u yozuv unga javob berishi kerak bo'lgan har bir hal qiluvchiga qanday yetib boradi?

A varianti: ikkilamchilar bilan bitta vakolatli zona

internal.example.com uchun asosiyni ishga tushiring va qo'llab-quvvatlanadigan ikkilamchilarga zonani har bir saytda olishga ruxsat bering. Har bir saytning rekursiv hal qiluvchisi o'z mahalliy ikkilamchisidan so'raydi, shuning uchun javoblar keshdan emas, vakolatli manbadan keladi va bir marta qilingan o'zgarish qayta terish o'rniga uzatiladi.

Bunday tartib kechiktirish oson va o'tkazib yuborish qimmat bo'lgan aniq qarorlarni talab qiladi. Zonani kim tahrirlashi mumkin? Qaysi serverlarga uni uzatishga ruxsat berilgan va qaysi manzillar orqali? Saytlar orasidagi tunnel o'chirilganda mijozlar nima ko'rishlari kerak? Ikkilamchi o'z oxirgi nusxasidan javob berishda davom etadi, bu odatda kerakli xatti-harakat, ammo bu e'lon qilingan tanlov bo'lishi kerak, uzilish paytida kutilmagan hodisa emas.

Zona uzatishlarini manzil bo'yicha ma'lum ikkilamchilar bilan cheklang va amalga oshirish qo'llab-quvvatlaydigan joylarda tranzaksiya imzolaridan foydalaning. Ochiq uzatish portga yeta oladigan har kim uchun ichki nom maydoningizning nusxasi.

Narx - muvofiqlashtirish: bitta tahrirlash yo'li, bitta o'zgarish ko'rib chiqishi va yozuv noto'g'ri bo'lganda kim navbatchilikda ekanligi haqida umumiy tushuncha.

B varianti: har bir sayt uchun subdomen

green.internal.example.com yashil saytga, yellow.internal.example.com sariq saytga delegatsiya qiling. Har bir sayt o'z nomlari uchun vakolatli bo'ladi, ota zona esa faqat delegatsiya yozuvlarini olib yuradi. Bitta fayl uchun raqobat yo'qoladi va mahalliy jamoa markaziy o'zgarishni kutmasdan xost qo'sha oladi.

Delegatsiya ota zonada bo'lishi kerak, saytning vakolatli serverlariga ishora qiluvchi NS yozuvlari bilan. To'liq delegatsiya amaliy bo'lmaganda subdomen uchun shartli yo'naltirish to'g'ri alternativa, lekin bu hal qiluvchi sozlamasi, e'lon qilingan fakt emas, shuning uchun har bir hal qiluvchi bir xil qoidaga muhtoj.

Narx yo'qolish o'rniga ko'chadi: ota zonaga hali ham egasi kerak va yangi sayt yaratish endi bitta emas, ikki joyda o'zgarish.

Har bir hal qiluvchi tanlovga amal qilsin

Qo'llab-quvvatlanadigan konfiguratsiya orqali mijozlarga tasdiqlangan hal qiluvchini va qidiruv domenini bering va quyidagiga ishonch hosil qiling: hal qiluvchining so'rashi kerak bo'lgan har qanday masofaviy DNS serveriga ruxsat berilgan VPN marshruti bor. Ilovalarga ham o'sha javoblar qaytaradigan xususiy manzillarga marshrutlar kerak, chunki yo'lsiz to'g'ri nom ham uzilgan ulanish bo'lib qoladi.

Agar Pi-hole mahalliy hal qilishni ta'minlasa, qaysi yozuvlar unga tegishli va qaysi so'rovlarni yo'naltirishini yozib qo'ying. Alohida tahrirlangan ikki Pi-hole ro'yxati hali ham replikatsiya qilinmaydi. Pi-hole v6 da moslashtirilgan dnsmasq satrlari TOML, CLI yoki muhit o'zgaruvchilari kabi xost tomonidagi opsiyalar orqali o'rnatiladi va API orqali oshkor qilinmaydi; /etc/dnsmasq.d/ fayllarini yuklash sukut bo'yicha o'chirilgan alohida opsiya.

So'ngra hamma joyda ko'rinishi kerak bo'lgan nom bilan ikki tomondan sinab ko'ring:

$ dig +short newhost.green.internal.example.com @10.20.0.53
10.20.0.41
$ dig +short newhost.green.internal.example.com @10.30.0.53
10.20.0.41
$ dig SOA internal.example.com @10.30.0.53

SOA javobi sariq hal qiluvchi o'zini vakolatli deb biladimi, ikkilamchidan so'raydimi yoki shunchaki yo'naltiradimi - shuni aytadi. Bular turli nosozlik usullariga ega turli dizaynlar va javob odatda qaysi birini haqiqatda joriy qilganingizni aniqlaydi.

Uchta qabul holati bilan yakunlang: har bir saytdan bitta nom, bir soat ichida o'zgartirilgan bitta yozuv va saytlar orasidagi aloqa mavjud emasligi. Faqat birinchisidan o'tadigan dizaynning qog'ozda e'lon qilish rejasi va ishlab chiqarishda mahalliy bekor qilishi bor.