Squid Split DNS: privaatsete domeenide suunamine õige resolveri kaudu

Kui sisemine resolver on esimene ja avalik resolver teine, ei ütle see Squidile, millised nimed kuuluvad millisesse nimeruumi.

Squidis 6 ja 7 asendab dns_nameservers tavalise resolverite loendi serveri aadressidega. Selle süntaksis puudub domeenipõhine vastendus. Kehtiv eitav vastus erineb ka kättesaamatust resolverist, seega ei ole alternatiivid usaldusväärne viis ühildumatute nimeruumide otsimiseks.

Suunake päringud domeeni järgi

Kohalik DNS-edastaja saab puuduva poliitika väljendada. Olemasolevas dnsmasqi konfiguratsioonis saab privaatse sufiksi suunata nii:

server=/internal.example/192.0.2.53

Asendage domeen ja aadress. Seadistage teiste nimede jaoks kinnitatud vaike-upstream, sobiv kuulaja ja juurdepääsupiirangud. Seejärel suunake Squid sellele resolverile paigaldatud versiooni toetatud konfiguratsiooniga.

Teise võimalusena kasutage organisatsiooni DNS-teenust, mis lahendab mõlemad nimeruumid õigesti. Vältige avalikku varuvarianti, mis paljastab privaatseid nimesid, suutmata neile vastata.

Kui ülemproksi teeb sihtkoha otsingu, vajab see hüpe privaatset nimeruumi. Kohaliku Squidi hosti resolver ei paranda ülemproksi otsingut.

Kontrollige ka eitavat juhtumit

Valige kehtiv privaatne nimi, kehtiv avalik nimi ja olematu privaatne nimi. Määrake igaühe jaoks kavandatud upstream ja kas oodatav vastus on aadress või eitav vastus. Viimane juhtum paljastab juhusliku avaliku varuvariandi pärast sisemist eitavat vastust.

Kaasake kliendi nõutavad aadressiperekonnad. Töötav A-otsing ei tõenda, et AAAA järgib poliitikat või tagastab kättesaadava sihtkoha. Pange tähele ka vahemälu olekut: vahemällu salvestatud vastus võib varjata, millise upstreami värske päring valiks.