mDNS داخل VPN: لماذا لا تُحلّ أسماء .local

تظهر طابعة مكتبك في كل تطبيق على مكتبك وتختفي على VPN، رغم أنك تستطيع ping العنوان الذي تعرف أنه يملكه. لا شيء في النفق معطّل: الاكتشاف والوصول خدمتان منفصلتان، وواحدة منهما فقط تعبر نفقًا موجّهًا افتراضيًا. الفحوص أدناه تفصل بينهما قبل أن تبدأ بإضافة المسارات. لا يمكن لمسار أن يصلح استعلامًا لم يغادر الوصلة أصلًا.

افحص ما يُحلّ اليوم، وما يبدو محلولًا فقط

افصل السؤالين أولًا: استعلام unicast لاسم مضيف يسأل محلّلًا، بينما البحث عن _ipp._tcp يسأل الوصلة المحلية. على Linux، يُظهر avahi-browse -a ما يمكن لـ DNS المتعدد أن يراه، ويُظهر resolvectl query name.local ما تفعله حزمة المحلّل بذلك الاسم. على macOS، يسرد dns-sd -B _ipp._tcp الخدمات المكتشفة دون الحاجة إلى عنوان أولًا.

إذا استجاب العنوان ولم يستجب الاسم، فالتوجيه يعمل والاكتشاف لا يعمل. يمكن أيضًا الإجابة عن اسم .local على المضيف نفسه عبر nss-mdns دون تثبيت avahi-browse، لذا فإن نجاح getent أو ping لذلك الاسم ليس دليلًا على أن الاكتشاف عبر النفق؛ نتيجة البحث ونتيجة المحلّل دليلان مختلفان. تخزّن التطبيقات ما اكتشفته، ولهذا يظهر العطل غالبًا بعد ساعات من الاتصال لا عند الاتصال. أغلق التطبيق وأعد فتحه، ثم افحص ما إذا كان الإدخال المخزّن يحمل اسمًا أم عنوانًا، لأن العنوان يظل يعمل طويلًا بعد توقف الاكتشاف.

لماذا لا يعبر الاستعلام النفق أبدًا

يرسل DNS المتعدد الاستعلامات إلى 224.0.0.251، داخل كتلة التحكم في الشبكة المحلية، على منفذ UDP رقم 5353. لا تمرّر الموجّهات عناوين من تلك الكتلة، لذا يبقى الاستعلام على الوصلة التي أُرسل إليها. يضبط المرسلون أيضًا TTL الخاص بـ IP، أو حد قفزة IPv6، على 255 كي يتمكن المستقبل من رفض حزمة عبرت موجّهًا بالفعل، وهذه هي طريقة اكتشاف البروتوكول للانتحال خارج الوصلة لا طريقة بقائه محليًا. تأتي المحلية من عنوان الوجهة، لا من TTL لقفزة واحدة.

نوع النفق مهم أيضًا. واجهة من نمط tun تحمل حزم IP ولا شيء غيرها، فلا تنجو أي مجموعة بث متعدد عبرها. جسر من نمط tap يوسّع نطاق البث نفسه، ولهذا جسرت بعض التصاميم القديمة بدل التوجيه، وورثت كل مشكلة يجلبها الجسر.

لا يغيّر استثناء الشبكة المحلية الموثوقة أيًا من هذا، لأنه يقرّر أي حركة يجوز لها استخدام النفق بدل تعليم النفق تمرير البث المتعدد. لا تزال الحزمة بلا مقطع مشترك لتُسمع عليه.

اختر تصميم تسمية يمكنك دعمه

لموارد الشركة، الجواب الدائم هو اسم مضيف موجّه يقدّمه المحلّل الذي يدفعه VPN، مع DNS منفصل كي تذهب الأسماء الداخلية إلى خوادم داخلية ولا يذهب كل شيء آخر. يعرض Windows ذلك كجدول سياسة تحليل الأسماء، ويستخدم macOS محلّلات محدودة النطاق لكل واجهة، ولدى معظم العملاء إعداد دفع مكافئ. يحتفظ الجهاز باسمه العادي في DNS الداخلي، ويتوقف الاكتشاف عن كونه جزءًا من المسار.

يمكن لوكيل اكتشاف أو عاكس mDNS أن يجسر الفجوة، وهو تصميم حقيقي بمضيفه وتعرضه ومتطلبات عملائه. لا يظهر لمجرد أنك أضفت مسارًا. لا تمرّر أبدًا استعلامات .local إلى محلّل عام: النطاق محجوز لاستخدام البث المتعدد المحلي بموجب RFC 6762، وإرساله إلى الخارج ينتج أعطالًا بطيئة وكشفًا غير ضروري للبيانات.

تحقّق من الخدمة، لا من الاسم

الاسم في قائمة البحث يثبت خطوة الاكتشاف، لا أن الخدمة تستجيب. افتح قائمة الطباعة أو الواجهة الويب وأنجز عملية حقيقية، ثم كرّرها بعد إعادة الاتصال.

تخزّن الاكتشافات الأسماء بقوة، فقد يبدو الإدخال القديم نجاحًا. إذا ظهرت شهادة أو مطالبة مصادقة، فتلك الطبقة التالية ومشكلة منفصلة. دوّن أي آلية غيّرت، المحلّل أم الاكتشاف، كي لا يعيد الشخص التالي فتح السؤال كله.