Τεκμηρίωση παραδείγματος: DNS troubleshooting
1. Στόχος
Ένα decision tree συνδέει stub, resolver, authoritative server, delegation, DNSSEC, cache και transport.
2. Τι γίνεται
Το παράδειγμα ελέγχει τοπικά artifacts και δημιουργεί evidence κάτω από το work/.
3. Γιατί γίνεται
Οι αστοχίες DNS χρειάζονται evidence για RCODE, zone, TTL, delegation και resolver path.
4. Τυπικές εντολές
dig example.test SOA +norecurse 2>/dev/null || true
named-checkzone example.test zones/db.example.test 2>/dev/null || true
5. Έλεγχος επιτυχίας
- Τα artifacts είναι έγκυρα.
- Υπάρχει evidence.
- Δεν χρησιμοποιούνται production δεδομένα.
6. Συνηθισμένα λάθη
- Λάθος RRtype.
- Αγνόηση του TTL.
- Σύγχυση του resolver cache με authoritative δεδομένα.
7. Ζητήματα ασφάλειας
Οι διαμορφώσεις DNS δεν πρέπει να περιέχουν πραγματικά secrets ή provider credentials.
8. Ρεαλιστική χρήση
Το μοτίβο εφαρμόζεται σε reviews αλλαγών, λειτουργία και incident response.
9. Ροή workshop
- Διαβάστε τα artifacts.
- Εκτελέστε το script.
- Εξετάστε το evidence.
- Τεκμηριώστε τον κίνδυνο.
10. Πίνακας review
| Πεδίο review | Αναμενόμενο |
|---|---|
| Zone | Η zone και το όνομα είναι σαφή. |
| Απάντηση | Εξηγείται το RCODE. |
| Λειτουργία | Αξιολογούνται TTL και rollback. |
Επίσημες αναφορές
- RFC 1034: https://datatracker.ietf.org/doc/html/rfc1034
- RFC 1035: https://datatracker.ietf.org/doc/html/rfc1035
- RFC 8499: https://www.rfc-editor.org/info/rfc8499/
- RFC 6891 EDNS(0): https://datatracker.ietf.org/doc/html/rfc6891
- RFC 4033 DNSSEC: https://datatracker.ietf.org/doc/html/rfc4033
- RFC 9364 DNSSEC BCP: https://www.rfc-editor.org/info/rfc9364/
Παράρτημα παραδείγματος: Evidence, λειτουργία και μεταφορά γνώσης
Το παράρτημα ολοκληρώνει το παράδειγμα ως εκπαιδευτικό στοιχείο. Περιγράφει πώς ένα τοπικό μοντέλο DNS οδηγεί σε αξιόπιστη ανάλυση χωρίς χρήση production domains ή provider credentials.
B.1 Ορισμός πεδίου εφαρμογής
Το βήμα «Ορισμός πεδίου εφαρμογής» είναι απαραίτητο, επειδή οι αστοχίες DNS συχνά εξηγούνται μόνο αν συνδυαστούν zone, resolver path, cache και transport. Η αξιολόγηση πρέπει να δηλώνει αν ένα artifact απλώς εξηγεί μια κατάσταση, την ελέγχει τοπικά ή θα εφαρμοζόταν σε πραγματική zone.
| Ερώτηση | Αναμενόμενο |
|---|---|
| Τι επηρεάζεται; | Κατονομάζεται stub, resolver, authoritative server, zone, delegation, cache, DNSSEC ή transport. |
| Τι αποδεικνύεται; | Ένα αρχείο ή αποτέλεσμα κάτω από το work/evidence/ δείχνει το εύρημα. |
| Τι παραμένει ανοικτό; | Οι απαιτήσεις για πραγματικές zones ή providers τεκμηριώνονται ως όριο. |
Σημεία review:
- Όχι production zones.
- Όχι πραγματικά κλειδιά TSIG ή DNSSEC.
- Όχι provider API tokens.
- Όχι αλλαγές TTL ή delegation χωρίς review.
- Δυνατότητα cleanup με αφαίρεση του
work/.
B.2 Έλεγχος artifacts
Το βήμα «Έλεγχος artifacts» είναι απαραίτητο, επειδή οι αστοχίες DNS συχνά εξηγούνται μόνο αν συνδυαστούν zone, resolver path, cache και transport. Η αξιολόγηση πρέπει να δηλώνει αν ένα artifact απλώς εξηγεί μια κατάσταση, την ελέγχει τοπικά ή θα εφαρμοζόταν σε πραγματική zone.
| Ερώτηση | Αναμενόμενο |
|---|---|
| Τι επηρεάζεται; | Κατονομάζεται stub, resolver, authoritative server, zone, delegation, cache, DNSSEC ή transport. |
| Τι αποδεικνύεται; | Ένα αρχείο ή αποτέλεσμα κάτω από το work/evidence/ δείχνει το εύρημα. |
| Τι παραμένει ανοικτό; | Οι απαιτήσεις για πραγματικές zones ή providers τεκμηριώνονται ως όριο. |
Σημεία review:
- Όχι production zones.
- Όχι πραγματικά κλειδιά TSIG ή DNSSEC.
- Όχι provider API tokens.
- Όχι αλλαγές TTL ή delegation χωρίς review.
- Δυνατότητα cleanup με αφαίρεση του
work/.
B.3 Κατονομασία ρόλου DNS
Το βήμα «Κατονομασία ρόλου DNS» είναι απαραίτητο, επειδή οι αστοχίες DNS συχνά εξηγούνται μόνο αν συνδυαστούν zone, resolver path, cache και transport. Η αξιολόγηση πρέπει να δηλώνει αν ένα artifact απλώς εξηγεί μια κατάσταση, την ελέγχει τοπικά ή θα εφαρμοζόταν σε πραγματική zone.
| Ερώτηση | Αναμενόμενο |
|---|---|
| Τι επηρεάζεται; | Κατονομάζεται stub, resolver, authoritative server, zone, delegation, cache, DNSSEC ή transport. |
| Τι αποδεικνύεται; | Ένα αρχείο ή αποτέλεσμα κάτω από το work/evidence/ δείχνει το εύρημα. |
| Τι παραμένει ανοικτό; | Οι απαιτήσεις για πραγματικές zones ή providers τεκμηριώνονται ως όριο. |
Σημεία review:
- Όχι production zones.
- Όχι πραγματικά κλειδιά TSIG ή DNSSEC.
- Όχι provider API tokens.
- Όχι αλλαγές TTL ή delegation χωρίς review.
- Δυνατότητα cleanup με αφαίρεση του
work/.
B.4 Ερμηνεία RCODE
Το βήμα «Ερμηνεία RCODE» είναι απαραίτητο, επειδή οι αστοχίες DNS συχνά εξηγούνται μόνο αν συνδυαστούν zone, resolver path, cache και transport. Η αξιολόγηση πρέπει να δηλώνει αν ένα artifact απλώς εξηγεί μια κατάσταση, την ελέγχει τοπικά ή θα εφαρμοζόταν σε πραγματική zone.
| Ερώτηση | Αναμενόμενο |
|---|---|
| Τι επηρεάζεται; | Κατονομάζεται stub, resolver, authoritative server, zone, delegation, cache, DNSSEC ή transport. |
| Τι αποδεικνύεται; | Ένα αρχείο ή αποτέλεσμα κάτω από το work/evidence/ δείχνει το εύρημα. |
| Τι παραμένει ανοικτό; | Οι απαιτήσεις για πραγματικές zones ή providers τεκμηριώνονται ως όριο. |
Σημεία review:
- Όχι production zones.
- Όχι πραγματικά κλειδιά TSIG ή DNSSEC.
- Όχι provider API tokens.
- Όχι αλλαγές TTL ή delegation χωρίς review.
- Δυνατότητα cleanup με αφαίρεση του
work/.
B.5 Αξιολόγηση TTL
Το βήμα «Αξιολόγηση TTL» είναι απαραίτητο, επειδή οι αστοχίες DNS συχνά εξηγούνται μόνο αν συνδυαστούν zone, resolver path, cache και transport. Η αξιολόγηση πρέπει να δηλώνει αν ένα artifact απλώς εξηγεί μια κατάσταση, την ελέγχει τοπικά ή θα εφαρμοζόταν σε πραγματική zone.
| Ερώτηση | Αναμενόμενο |
|---|---|
| Τι επηρεάζεται; | Κατονομάζεται stub, resolver, authoritative server, zone, delegation, cache, DNSSEC ή transport. |
| Τι αποδεικνύεται; | Ένα αρχείο ή αποτέλεσμα κάτω από το work/evidence/ δείχνει το εύρημα. |
| Τι παραμένει ανοικτό; | Οι απαιτήσεις για πραγματικές zones ή providers τεκμηριώνονται ως όριο. |
Σημεία review:
- Όχι production zones.
- Όχι πραγματικά κλειδιά TSIG ή DNSSEC.
- Όχι provider API tokens.
- Όχι αλλαγές TTL ή delegation χωρίς review.
- Δυνατότητα cleanup με αφαίρεση του
work/.
B.6 Έλεγχος delegation
Το βήμα «Έλεγχος delegation» είναι απαραίτητο, επειδή οι αστοχίες DNS συχνά εξηγούνται μόνο αν συνδυαστούν zone, resolver path, cache και transport. Η αξιολόγηση πρέπει να δηλώνει αν ένα artifact απλώς εξηγεί μια κατάσταση, την ελέγχει τοπικά ή θα εφαρμοζόταν σε πραγματική zone.
| Ερώτηση | Αναμενόμενο |
|---|---|
| Τι επηρεάζεται; | Κατονομάζεται stub, resolver, authoritative server, zone, delegation, cache, DNSSEC ή transport. |
| Τι αποδεικνύεται; | Ένα αρχείο ή αποτέλεσμα κάτω από το work/evidence/ δείχνει το εύρημα. |
| Τι παραμένει ανοικτό; | Οι απαιτήσεις για πραγματικές zones ή providers τεκμηριώνονται ως όριο. |
Σημεία review:
- Όχι production zones.
- Όχι πραγματικά κλειδιά TSIG ή DNSSEC.
- Όχι provider API tokens.
- Όχι αλλαγές TTL ή delegation χωρίς review.
- Δυνατότητα cleanup με αφαίρεση του
work/.
B.7 Καταγραφή ορίων ασφάλειας
Το βήμα «Καταγραφή ορίων ασφάλειας» είναι απαραίτητο, επειδή οι αστοχίες DNS συχνά εξηγούνται μόνο αν συνδυαστούν zone, resolver path, cache και transport. Η αξιολόγηση πρέπει να δηλώνει αν ένα artifact απλώς εξηγεί μια κατάσταση, την ελέγχει τοπικά ή θα εφαρμοζόταν σε πραγματική zone.
| Ερώτηση | Αναμενόμενο |
|---|---|
| Τι επηρεάζεται; | Κατονομάζεται stub, resolver, authoritative server, zone, delegation, cache, DNSSEC ή transport. |
| Τι αποδεικνύεται; | Ένα αρχείο ή αποτέλεσμα κάτω από το work/evidence/ δείχνει το εύρημα. |
| Τι παραμένει ανοικτό; | Οι απαιτήσεις για πραγματικές zones ή providers τεκμηριώνονται ως όριο. |
Σημεία review:
- Όχι production zones.
- Όχι πραγματικά κλειδιά TSIG ή DNSSEC.
- Όχι provider API tokens.
- Όχι αλλαγές TTL ή delegation χωρίς review.
- Δυνατότητα cleanup με αφαίρεση του
work/.
B.8 Σύνταξη rollback
Το βήμα «Σύνταξη rollback» είναι απαραίτητο, επειδή οι αστοχίες DNS συχνά εξηγούνται μόνο αν συνδυαστούν zone, resolver path, cache και transport. Η αξιολόγηση πρέπει να δηλώνει αν ένα artifact απλώς εξηγεί μια κατάσταση, την ελέγχει τοπικά ή θα εφαρμοζόταν σε πραγματική zone.
| Ερώτηση | Αναμενόμενο |
|---|---|
| Τι επηρεάζεται; | Κατονομάζεται stub, resolver, authoritative server, zone, delegation, cache, DNSSEC ή transport. |
| Τι αποδεικνύεται; | Ένα αρχείο ή αποτέλεσμα κάτω από το work/evidence/ δείχνει το εύρημα. |
| Τι παραμένει ανοικτό; | Οι απαιτήσεις για πραγματικές zones ή providers τεκμηριώνονται ως όριο. |
Σημεία review:
- Όχι production zones.
- Όχι πραγματικά κλειδιά TSIG ή DNSSEC.
- Όχι provider API tokens.
- Όχι αλλαγές TTL ή delegation χωρίς review.
- Δυνατότητα cleanup με αφαίρεση του
work/.
B.9 Καθαρισμός evidence
Το βήμα «Καθαρισμός evidence» είναι απαραίτητο, επειδή οι αστοχίες DNS συχνά εξηγούνται μόνο αν συνδυαστούν zone, resolver path, cache και transport. Η αξιολόγηση πρέπει να δηλώνει αν ένα artifact απλώς εξηγεί μια κατάσταση, την ελέγχει τοπικά ή θα εφαρμοζόταν σε πραγματική zone.
| Ερώτηση | Αναμενόμενο |
|---|---|
| Τι επηρεάζεται; | Κατονομάζεται stub, resolver, authoritative server, zone, delegation, cache, DNSSEC ή transport. |
| Τι αποδεικνύεται; | Ένα αρχείο ή αποτέλεσμα κάτω από το work/evidence/ δείχνει το εύρημα. |
| Τι παραμένει ανοικτό; | Οι απαιτήσεις για πραγματικές zones ή providers τεκμηριώνονται ως όριο. |
Σημεία review:
- Όχι production zones.
- Όχι πραγματικά κλειδιά TSIG ή DNSSEC.
- Όχι provider API tokens.
- Όχι αλλαγές TTL ή delegation χωρίς review.
- Δυνατότητα cleanup με αφαίρεση του
work/.
B.10 Εκτέλεση cleanup
Το βήμα «Εκτέλεση cleanup» είναι απαραίτητο, επειδή οι αστοχίες DNS συχνά εξηγούνται μόνο αν συνδυαστούν zone, resolver path, cache και transport. Η αξιολόγηση πρέπει να δηλώνει αν ένα artifact απλώς εξηγεί μια κατάσταση, την ελέγχει τοπικά ή θα εφαρμοζόταν σε πραγματική zone.
| Ερώτηση | Αναμενόμενο |
|---|---|
| Τι επηρεάζεται; | Κατονομάζεται stub, resolver, authoritative server, zone, delegation, cache, DNSSEC ή transport. |
| Τι αποδεικνύεται; | Ένα αρχείο ή αποτέλεσμα κάτω από το work/evidence/ δείχνει το εύρημα. |
| Τι παραμένει ανοικτό; | Οι απαιτήσεις για πραγματικές zones ή providers τεκμηριώνονται ως όριο. |
Σημεία review:
- Όχι production zones.
- Όχι πραγματικά κλειδιά TSIG ή DNSSEC.
- Όχι provider API tokens.
- Όχι αλλαγές TTL ή delegation χωρίς review.
- Δυνατότητα cleanup με αφαίρεση του
work/.
B.11 Ολοκλήρωση
Ένα παράδειγμα ολοκληρώνεται όταν το script εκτελείται επιτυχώς, όλα τα artifacts είναι συντακτικά έγκυρα, κατονομάζεται ο ρόλος DNS και το evidence δεν περιέχει εμπιστευτικά δεδομένα.