Squid Split DNS: směrování privátních domén přes správný resolver

Umístit interní resolver na první místo a veřejný na druhé Squidu neřekne, která jména patří do kterého jmenného prostoru.

V Squid 6 a 7 nahrazuje dns_nameservers obvyklý seznam resolverů adresami serverů. Jeho syntaxe nemá mapování po doménách. Platná negativní odpověď se také liší od nedostupného resolveru, takže alternativy nejsou spolehlivý způsob, jak prohledávat nekompatibilní jmenné prostory.

Směrování dotazů podle domény

Lokální DNS forwarder může chybějící politiku vyjádřit. V existující konfiguraci dnsmasq lze privátní sufix směrovat takto:

server=/internal.example/192.0.2.53

Nahraďte doménu a adresu. Nastavte schválený výchozí upstream pro ostatní jména, vhodný listener a omezení přístupu. Poté namiřte Squid na tento resolver pomocí konfigurace podporované nainstalovanou verzí.

Případně použijte organizační DNS službu, která správně řeší oba jmenné prostory. Vyhněte se veřejnému záložnímu řešení, které odhaluje privátní jména, aniž by na ně umělo odpovědět.

Pokud nadřazený proxy provádí vyhledání cíle, potřebuje tento hop privátní jmenný prostor. Resolver na lokálním hostiteli Squidu neopraví vyhledání nadřazeného proxy.

Ověřte i negativní případ

Zvolte platné privátní jméno, platné veřejné jméno a neexistující privátní jméno. U každého určete zamýšlený upstream a zda je očekávaná odpověď adresa, nebo negativní odpověď. Poslední případ odhalí náhodný veřejný fallback po interní negativní odpovědi.

Zahrňte adresní rodiny, které klient vyžaduje. Fungující dotaz A nedokazuje, že AAAA dodržuje politiku nebo vrací dostupný cíl. Sledujte i stav cache: uložená odpověď může skrýt, který upstream by zvolil čerstvý dotaz.