Squid Split DNS: накіраванне прыватных даменаў праз правільны рэзалвер

Калі ўнутраны рэзалвер стаіць першым, а публічны другім, гэта не паведамляе Squid, якія імёны належаць кожнай прасторы імяў.

У Squid 6 і 7 dns_nameservers замяняе звычайны спіс рэзалвераў адрасамі сервераў. У яго сінтаксісе няма супастаўлення па даменах. Сапраўдны адмоўны адказ таксама адрозніваецца ад недасяжнага рэзалвера, таму альтэрнатывы не надзейны спосаб перабіраць несумяшчальныя прасторы імяў.

Накіроўвайце запыты па даменах

Лакальны DNS-форвардар можа выказаць адсутную палітыку. У існуючай канфігурацыі dnsmasq прыватны суфікс можна накіраваць так:

server=/internal.example/192.0.2.53

Замяніце дамен і адрас. Наладзьце зацверджаны прадвызначаны upstream для іншых імёнаў, прыдатны слухач і абмежаванні доступу. Затым накіруйце Squid на гэты рэзалвер з дапамогай канфігурацыі, якую падтрымлівае ўсталяваная версія.

Альтэрнатыва — выкарыстоўваць арганізацыйны DNS-сэрвіс, які правільна развязвае абедзве прасторы імяў. Пазбягайце публічнага рэзервовага варыянту, які выкрывае прыватныя імёны, не маючы магчымасці адказаць на іх.

Калі бацькоўскі проксі выконвае пошук прызначэння, гэтаму скачку патрэбна прыватная прастора імяў. Рэзалвер на лакальным хасце Squid не выправіць пошук бацькоўскага проксі.

Праверце і адмоўны выпадак

Выберыце сапраўднае прыватнае імя, сапраўднае публічнае імя і неіснуючае прыватнае імя. Для кожнага вызначце прызначаны upstream і тое, ці чаканы адказ — адрас або адмоўны адказ. Апошні выпадак выяўляе выпадковае публічнае рэзерваванне пасля ўнутранага адмоўнага адказу.

Уключыце сямействы адрасоў, якіх патрабуе кліент. Працоўны пошук A не даказвае, што AAAA выконвае палітыку або вяртае дасяжнае прызначэнне. Улічвайце і стан кэша: закэшаваны адказ можа схаваць, які upstream выбера свежы запыт.