Squid Split DNS: ohjaa yksityiset verkkotunnukset oikealle resolverille
Ohjaa yksityiset ja julkiset DNS-nimiavaruudet tarkoituksellisesti sen sijaan, että antaisit Squidille monitulkintaisen resolver-luettelon.
Sisäisen resolverin sijoittaminen ensimmäiseksi ja julkisen toiseksi ei kerro Squidille, mitkä nimet kuuluvat mihinkin nimiavaruuteen.
Squidissa 6 ja 7 dns_nameservers korvaa tavallisen resolver-luettelon palvelinosoitteilla. Sen syntaksissa ei ole verkkotunnuskohtaista mappausta. Myös kelvollinen kielteinen vastaus eroaa tavoittamattomasta resolverista, joten vaihtoehdot eivät ole luotettava tapa etsiä yhteensopimattomia nimiavaruuksia.
Ohjaa kyselyt verkkotunnuksen mukaan
Paikallinen DNS-edelleenlähettäjä voi ilmaista puuttuvan käytännön. Olemassa olevassa dnsmasq-määrityksessä yksityinen suffiksi voidaan ohjata näin:
server=/internal.example/192.0.2.53Korvaa verkkotunnus ja osoite. Määritä hyväksytty oletus-upstream muille nimille, sopiva kuuntelija ja käyttörajoitukset. Ohjaa sitten Squid kyseiseen resolveriin asennetun version tukemalla määrityksellä.
Vaihtoehtoisesti käytä organisaation DNS-palvelua, joka ratkaisee molemmat nimiavaruudet oikein. Vältä julkista varareittiä, joka paljastaa yksityisiä nimiä kykenemättä vastaamaan niihin.
Jos ylätason välityspalvelin tekee kohdehaun, tuo hyppy tarvitsee yksityisen nimiavaruuden. Paikallisen Squid-isännän resolver ei korjaa ylätason välityspalvelimen hakua.
Testaa myös kielteinen tapaus
Valitse kelvollinen yksityinen nimi, kelvollinen julkinen nimi ja olematon yksityinen nimi. Tunnista jokaiselle aiottu upstream ja se, onko odotettu vastaus osoite vai kielteinen vastaus. Viimeinen tapaus paljastaa tahattoman julkisen varareitin sisäisen kielteisen vastauksen jälkeen.
Sisällytä asiakkaan vaatimat osoiteperheet. Toimiva A-haku ei osoita, että AAAA noudattaa käytäntöä tai palauttaa tavoitettavissa olevan kohteen. Huomioi myös välimuistin tila: tallennettu vastaus voi peittää, minkä upstreamin tuore kysely valitsisi.