Đệ quy không khả dụng: một chính sách DNS, không phải đường hầm hỏng

Tên nội bộ phân giải được, và cùng máy chủ đó trả lời một tên bên ngoài bằng lời từ chối về đệ quy. Sự kết hợp đó không phải mâu thuẫn. Việc công bố các vùng của chính mình và việc phân giải toàn bộ internet là hai dịch vụ riêng biệt mà một máy chủ có thể cung cấp, và nó có thể làm việc đầu tiên mà không cần việc thứ hai. Hãy coi lời từ chối là một tuyên bố chính sách, rồi kiểm tra xem chính sách có khớp với thiết kế không.

Lời từ chối và hết thời gian là hai câu trả lời khác nhau

Ghi lại tên, loại truy vấn, máy chủ trả lời, trạng thái và các bản ghi nhận được. Cảnh báo đệ quy không tự động vô hiệu hoá một câu trả lời có thẩm quyền đến cùng nó. Viết trạng thái ra trước khi diễn giải nó. Một trạng thái được dựng lại từ trí nhớ một giờ sau là một sự thật khác.

Tiêu đề DNS mang một yêu cầu đệ quy và một chỉ báo xem máy chủ có cung cấp nó hay không, và đặc tả giao thức giữ các cờ đó tách khỏi dữ liệu trả lời. Vì thế một câu trả lời có thể hữu ích mà vẫn mang một khiếu nại. Hết thời gian, câu trả lời phủ định và lời từ chối là ba kết quả khác nhau. Mỗi cái chỉ vào một lớp khác nhau, và chỉ lời từ chối mới là máy chủ nói với bạn về chính sách.

Đọc mã trạng thái trước, rồi quyết định xem cảnh báo có quan trọng cho truy vấn này không. Một câu trả lời có thẩm quyền nêu tên vùng vẫn dùng được kể cả khi bit đệ quy bị từ chối. Một lời từ chối không có câu trả lời là kết quả của chính sách, không phải đường đi gói tin bị hỏng.

Bộ phân giải đã ghi nhận gì làm nguồn của bạn

Máy khách có thể đến từ một nhóm địa chỉ ngoài các dải đệ quy được máy chủ cho phép, hoặc một phép dịch có thể khiến nó trông giống một cổng. Địa chỉ bộ điều hợp của chính máy khách không phải bằng chứng về điều bộ phân giải nhận được. Hãy hỏi quản trị viên máy chủ về nguồn quan sát được thay vì suy ra nó từ phía bạn của đường đi. Hai địa chỉ có thể khác nhau ở mỗi bước nhảy có dịch.

Truy vấn cùng tên từ máy khách và từ một máy chủ mà máy chủ đã tin cậy. Khác biệt giữa hai câu trả lời chính là điều kiện nguồn, và nó hữu ích hơn từng câu trả lời riêng lẻ.

dig +short host.corp.example
dig +short example.com

Nếu việc triển khai muốn đệ quy cho máy khách VPN, quản trị viên cấp phép dải nguồn phù hợp thông qua các kiểm soát của chính máy chủ. Mở đệ quy cho mọi mạng để một bài kiểm tra đi qua là thay đổi lớn hơn nhiều so với thay đổi đang được kiểm tra. Ghi dải được cấp phép bên cạnh quy tắc, vì người đánh giá tiếp theo sẽ hỏi chính sách phục vụ những nguồn nào. Một dải nguồn không có chủ sở hữu là cách một bài kiểm tra tạm thời trở thành vĩnh viễn.

DNS chia tách là một thiết kế, không phải lỗi

Một số triển khai chỉ gửi các miền công việc đến bộ phân giải riêng và mọi thứ khác đến một bộ phân giải được phê duyệt khác. Đó là thiết kế định tuyến truy vấn, và không phải bằng chứng rằng máy chủ riêng cần một chính sách lỏng hơn. Trong thiết kế đó, một tên bên ngoài thất bại qua bộ phân giải riêng là kết quả dự định chứ không phải lỗi. Lời từ chối là thiết kế đang hoạt động, không phải triệu chứng cần dập tắt.

Một bộ phân giải công cộng có thể khôi phục duyệt web trong khi làm hỏng tên nội bộ hoặc gửi truy vấn riêng tư đến nơi chúng không nên đến. Viết hành vi dự định ra trước khi thay đổi bất kỳ địa chỉ bộ phân giải nào.

Xác minh chính sách bằng hai truy vấn

Sau khi sửa theo dự định, hãy truy vấn một tên riêng được cấp phép và một tên bên ngoài từ máy khách thực. Điều trả về phải là điều chính sách hứa, không chỉ là chẩn đoán yên tĩnh hơn. Ghi lại máy chủ trả lời với từng câu trả lời, rồi so sánh cặp đó với chính sách. So sánh chính là bài kiểm tra, và một lần tra cứu thành công thì không phải.

resolvectl query host.corp.example
resolvectl query example.com

Nếu tên riêng hoạt động và tên công cộng bị từ chối, chính sách đang làm đúng như nó nói. Nếu tên riêng cũng thất bại, vấn đề là vùng, tuyến hoặc uỷ quyền nguồn, và đệ quy chỉ là thứ gây phân tâm. Cả hai kết quả đều hữu ích, và mỗi cái loại trừ một nửa số giả thuyết còn lại.

Đọc lời từ chối như bằng chứng

Lời từ chối là một câu trả lời. Nó có nghĩa máy chủ đã nhận truy vấn và từ chối thực hiện công việc được yêu cầu, điều này khác với một gói tin không bao giờ đến. Sự khác biệt đó là toàn bộ chẩn đoán. Hãy ghi nó như một câu trả lời, không phải như một sự cố kết nối.

Sự khác biệt đó cho bạn biết nên nhìn ở đâu: nhật ký máy chủ, chính sách truy cập của nó và nguồn nó đã ghi. Một thay đổi tường lửa không thể sửa lời từ chối chính sách, và một thay đổi chính sách không thể sửa tuyến bị thiếu. Giữ hai giả thuyết tách nhau cho đến khi một trong hai có bằng chứng.

Viết kết quả và chủ sở hữu chính sách vào phiếu, để người tiếp theo bắt đầu từ quyết định chứ không phải từ cảnh báo. Nêu dải nguồn được cấp phép và hai tên bạn đã kiểm tra. Một phiếu với ba sự thật đó có thể chạy lại; một phiếu nói "đệ quy bị hỏng" thì không.