Squid Split DNS: smerovanie privátnych domén cez správny resolver

Umiestnenie interného resolvera na prvé miesto a verejného na druhé Squidu nepovie, ktoré mená patria do ktorého menného priestoru.

V Squid 6 a 7 dns_nameservers nahrádza zvyčajný zoznam resolverov adresami serverov. Jeho syntax nemá mapovanie podľa domény. Platná negatívna odpoveď sa tiež líši od nedostupného resolvera, preto alternatívy nie sú spoľahlivý spôsob prehľadávania nekompatibilných menných priestorov.

Smerovanie dopytov podľa domény

Lokálny DNS forwarder môže vyjadriť chýbajúcu politiku. V existujúcej konfigurácii dnsmasq možno privátnu príponu smerovať takto:

server=/internal.example/192.0.2.53

Nahraďte doménu a adresu. Nastavte schválený predvolený upstream pre ostatné mená, vhodný listener a obmedzenia prístupu. Potom nasmerujte Squid na tento resolver pomocou konfigurácie podporovanej nainštalovanou verziou.

Prípadne použite organizačnú DNS službu, ktorá správne rieši oba menné priestory. Vyhnite sa verejnému záložnému riešeniu, ktoré odhaľuje privátne mená a nedokáže na ne odpovedať.

Ak nadradený proxy vykonáva vyhľadanie cieľa, tento skok potrebuje privátny menný priestor. Resolver na lokálnom hostiteľovi Squid neopraví vyhľadanie nadradeného proxy.

Overte aj negatívny prípad

Zvoľte platné privátne meno, platné verejné meno a neexistujúce privátne meno. Pre každé určte zamýšľaný upstream a či je očakávaná odpoveď adresa alebo negatívna odpoveď. Posledný prípad odhalí náhodný verejný záložný stav po internej negatívnej odpovedi.

Zahrňte adresné rodiny, ktoré klient vyžaduje. Fungujúce vyhľadanie A nedokazuje, že AAAA dodržiava politiku alebo vracia dostupný cieľ. Sledujte aj stav cache: uložená odpoveď môže skryť, ktorý upstream by zvolil čerstvý dopyt.