Definer problemet, før du ændrer DNS
A ugyldigt opslag diagnose betyder mere end " DNS gav ikke den forventede adresse." RFC 7208 beskriver relevante forespørgsler, der returnerer et positivt svar med nul svar eller et navnefejlsvar. Disse kaldes almindeligvis void opslag. En timeout eller serverfejl er ikke den samme svarkategori. At behandle alle mislykkede opslag som ugyldige kan gøre en forbigående resolverhændelse til en forkert anbefaling om at omskrive en gyldig afsenderpolitik.
Standarden siger, at implementeringer SKAL begrænse ugyldige opslag til to. Den tillader en konfigurerbar grænse og anbefaler to som standard i så fald. Overskridelse af den gældende grænse giver permerror. Bevar disse normative distinktioner: to er ikke et ubetinget universelt MUST på tværs af enhver implementering, men en anmelder bør heller ikke antage, at en ukendt modtager har hævet sin grænse. RFC 7208 , afsnit 4.6.4
Vedligehold to separate tællere
Det overordnede SPF budgetgrænser evaluerede DNS-forårsagende vilkår, herunder include, a, mx, ptr, exists and redirect. Ugyldighedsbegrænsningen vedrører kvalificerende tomme eller ikke-eksisterende svar, der er stødt på under evalueringen. De overlapper hinanden i operationelle konsekvenser, men måler forskellige ting. En politik kan støde på problematiske tomhedssvar, før dens samlede periodebudget er opbrugt. En lang vellykket afhængighedssti kan opbruge termbudgettet uden at producere ugyldige svar.
En pakkeopsamlingstælling, en resolver-cache-hittælling og en SPF -termantal er ikke udskiftelige. Caching kan ændre netværksaktivitet uden at gøre den logiske politik fri til at evaluere. Ligeledes kan et syntaktisk udtryk kræve yderligere opløsningsarbejde eller have sine egne supplerende begrænsninger. Opbevar den evaluerede term, udvidede forespørgselsnavn, posttype, svarklassificering og løbende totaler i særskilte felter. RFC 7208 , afsnit 4.6.4
Indsaml nok svardetaljer til at klassificere begivenheden
For en foreslået autoriseret undersøgelse skal du bevare det forespurgte navn og type, DNS svarkode, svarantal, relevante returnerede poster, resolverkontekst og tidsstempel. Behold det rå svar eller en trofast struktureret transskription, ikke kun en grøn eller rød dashboard-etiket. Et positivt svar uden svar bør ikke stilles om som NXDOMAIN . Begge kan have betydning for at annullere regnskabet, men deres DNS betydninger og afhjælpningsstier kan variere.
Registrer, om opslaget faktisk blev nået af SPF evaluatoren. Et statisk opdagelsesværktøj kan udforske afhængigheder, som det bestemte budskab aldrig evaluerer. En sådan udforskning kan afsløre risici, men det er ikke bevis for, at meddelelsen forbrugte disse opslag. Identificer forbindelsesadressen, afsenderinput og politikgren, så en anden anmelder kan forstå, hvorfor en mekanisme blev evalueret eller sprunget over.
Opbevar fejl separat. En timeout, afkortet indsamlingslog eller utilgængelig resolver er en usikkerhed, der kræver sin egen klassificering. Erstat ikke manglende observationer med et antaget tomt svar. Undersøgelsen bør være reproducerbar uden at kræve, at anmelderen skal udlede svartyper fra prosa.
Fortolk mekanismer, før du foreslår en reparation
En eksisterende mekanisme tester, om det udvidede domæne har adressedata på den måde, som er defineret af standarden. En a-mekanisme sammenligner de relevante adresser med den tilsluttede klient. Deres ikke-matchende resultater bekræfter ikke i sig selv, at udgiveren har begået en fejl. Nogle politikker bruger med vilje eksistenstjek. Det diagnostiske spørgsmål er, om den faktiske vej forbliver inden for de gældende grænser, og om afhængigheden stadig tjener det tilsigtede autorisationsformål.
Et ikke-eksisterende inkluderende mål fortjener en anden forklaring. Medtag rekursivt evaluerer en politik; et barn, ingen resultat afspejler sig i permerror , snarere end at blive behandlet som en almindelig nonmatch, der sikkert falder igennem. En rapport kan således støde på manglende DNS data og have en mere øjeblikkelig inkluderingsfejl end en kumulativ void-limit-forklaring. Forklar den tidligste understøttede fejl, ikke alle tænkelige konsekvenser af det samme manglende navn. RFC 7208 , afsnit 5.2, 5.3 og 5.7
Driftsskema og acceptkriterier
Forbered et regneark med kolonner for trin, omsluttende politik, mekanisme, udvidet mål, forespørgselstype, svarkode, svarantal, logisk-term total, ugyldig total og fortsættelsesbeslutning. Inkluder evaluatorens dokumenterede void-limit-konfiguration, hvis den er tilgængelig. Hvis denne konfiguration er ukendt, skal du angive antagelsen og undgå at tilskrive den til en rigtig modtagende tjeneste uden bevis.
Tildel en ejer, der kan bekræfte, om målet er aktuelt, for hvert mistænkt tomt svar. En typografisk fejl, pensioneret udbyderafhængighed, forsætlig eksistenstest og midlertidigt utilgængelig bevis kræver forskellige svar. Dokumenter den foreslåede rettelse og de afsenderruter, den kan påvirke. Udskift aldrig en gættet leverandør, blot fordi dens navn ser bekendt ud.
Accept kræver en sammenhængende sti og nøjagtig fejlende gren, ikke blot færre termer i en kladdepost. Korrekturlæseren bør være i stand til at identificere, hvilket svar der blev klassificeret som ugyldigt, hvornår den konfigurerede tærskel blev overskredet, og hvorfor denne hændelse bestemte resultatet. Efter enhver særskilt godkendt ændring vil der være behov for aktuel dokumentation igen, fordi udbyderafhængigheder og caches kan afvige fra planlægningsøjebliksbilledet.
Fiktiv diagnose: tomme svar versus en utilgængelig resolver
Forestil dig en fuldstændig fiktiv politik, der når tre eksistenstjek i rækkefølge, som hver returnerer et positivt svar med nul svar. Antag en fiktiv evaluator konfigureret med en tomrumsgrænse på to og ingen tidligere match eller fejl. På det tredje kvalificerende svar identificerer det foreslåede spor den overskredne grænse og permerror . Dette er et forklarende scenarie, ikke et udført arrangement eller en påstand om nogen udbyder.
Skift den tredje observation til en timeout. Diagnosen kan ikke længere sige, at dette svar var det tredje ugyldige svar. Efterforskeren skal bevare den midlertidige DNS fejl og evaluatorens håndtering i stedet for at tvinge hændelsen ind i den tidligere forklaring. Skift den anden observation til et positivt adressesvar, der matcher den eksisterende mekanisme, og den senere gren nås måske slet ikke.
Disse variationer viser, hvorfor en flad liste over uløste værtsnavne er utilstrækkelig. De relevante fakta er responssemantik, rækkefølge og termineringspunktet. De viser også, hvorfor den samme politiktekst kan producere forskellige stier til forskellige input eller DNS tilstande uden at antyde, at en observatør har fremstillet resultatet.
Hold originale beviser og udløserporte åbne
Der blev ikke spurgt til noget offentligt eller privat domæne for dette manuskript. Arbejdsarket er en foreslået metode, og den bearbejdede diagnose er fiktiv. Kataloget kræver en kommenteret sti, der viser hver optalte term og den nøjagtige fejlende gren; dette krav forbliver åbent, indtil der eksisterer faktisk autoriseret bevis, og det er gennemgået.
En publikation skal mærke resolverkonteksten, indsamlingstidspunktet og evaluatorens antagelser. Det bør ikke gøre krav på universel modtageradfærd fra en implementerings konfigurerbare tærskel. Kildeanvendelse, menneskelig gennemgang, originale beviser, produktionsruter, visuel tilgængelighed og ejerudgivelse forbliver åbne. Enhver reel DNS reparation tilhører en separat autoriseret ændringsproces med en aktuel afsenderbeholdning og tilbagerulningsplan.