Squid Split DNS: send private domener via riktig resolver

Å plassere en intern resolver først og en offentlig resolver som nummer to sier ikke til Squid hvilke navn som hører til hvilket navnerom.

I Squid 6 og 7 bytter dns_nameservers ut den vanlige resolverlisten med serveradresser. Syntaksen har ingen tilordning per domene. Et gyldig negativt svar skiller seg også fra en utilgjengelig resolver, så alternativer er ikke en pålitelig måte å lete i inkompatible navnerom.

Send spørringer etter domene

En lokal DNS-videresender kan uttrykke den manglende regelen. I en eksisterende dnsmasq-konfigurasjon kan et privat suffiks sendes slik:

server=/internal.example/192.0.2.53

Bytt ut domenet og adressen. Sett opp en godkjent standard-upstream for andre navn, en egnet lytter og tilgangsbegrensninger. Rett deretter Squid mot den resolveren med konfigurasjonen som den installerte versjonen støtter.

Alternativt kan du bruke en organisasjons-DNS-tjeneste som løser begge navnerom riktig. Unngå en offentlig reservevei som avdekker private navn uten å kunne svare på dem.

Hvis en overordnet proxy gjør destinasjonsoppslaget, trenger det hoppet det private navnerommet. En resolver på den lokale Squid-verten vil ikke rette opp oppslaget til den overordnede proxyen.

Sjekk også det negative tilfellet

Velg et gyldig privat navn, et gyldig offentlig navn og et ikke-eksisterende privat navn. For hvert av dem må du finne den tiltenkte upstreamen og avgjøre om det forventede svaret er en adresse eller et negativt svar. Det siste tilfellet avdekker utilsiktet offentlig reservevei etter et internt negativt svar.

Ta med adressefamiliene klienten krever. Et fungerende A-oppslag beviser ikke at AAAA følger regelen eller returnerer en nåbar destinasjon. Legg også merke til hurtiglagertilstanden: et lagret svar kan skjule hvilken upstream en ny spørring ville velge.