Pannes DNS dans une chaîne de proxy HTTP : quel saut résout le nom ?
Distinguez l'accès au proxy local, la résolution du parent et celle du site lors du diagnostic d'un proxy de transfert en chaîne.
client → local forward proxy → HTTP parent → websitePartez du nom qui échoue plutôt que d'affirmer que tout le DNS appartient « au proxy » :
| Nom nécessaire | Saut qui doit l'atteindre |
|---|---|
| Point de terminaison du proxy local | Le client |
| Point de terminaison du parent HTTP | Le proxy de transfert local |
| Point de terminaison du site | Le parent lorsqu'il ouvre la connexion finale |
Ces sauts peuvent utiliser des résolveurs différents lorsque les points de terminaison sont des noms d'hôte. Pour HTTPS, un proxy de transfert peut transmettre au parent l'hôte et le port de destination de CONNECT, qui établit la connexion finale. Le client d'origine n'a pas besoin de résoudre d'abord le site. Le transfert HTTP simple transporte lui aussi les informations de destination vers l'aval.
Ce n'est pas la promesse qu'une seule machine interroge chaque nom. L'évaluation des ACL, la mise en cache, la politique et les détails d'implémentation peuvent provoquer des recherches supplémentaires.
Vérifiez la politique de repli lorsque le parent est indisponible. Si l'accès direct est autorisé, le proxy local peut devenir le saut tourné vers le site, avec ses propres décisions de résolveur et d'adresse source. Le simple fait de configurer un parent ne prouve pas que chaque requête l'a utilisé.
En cas de panne, identifiez le nom et le processus qui tente de le résoudre avant de modifier un fichier hosts. Une modification côté client ne peut pas corriger toutes les décisions en aval. La source publique finale appartient au saut qui ouvre la connexion au site ; observer cette source n'est pas la même chose que mesurer où le DNS a eu lieu.