Чаму прыватная канчатковая кропка ўсё яшчэ адказвае публічным адрасам

Ноўтбук падключаецца, тунель паведамляе, што ён узняты, а ўліковы запіс сховішча ўсё яшчэ адхіляе кожны запыт. Прыватная канчатковая кропка існуе, маршрут да яе падсеткі існуе, а імя альбо адказвае публічным адрасам, альбо не вырашаецца. З тунелем усё ў парадку: кліенту ніколі не казалі, які сервер павінен адказваць за гэтае імя. Прасачыце запыт вонкі — і разрыў стане відавочным.

Пачніце з рэзалвера кліента

Спытайце кліент, да якога сервера ён звяртаецца, пакуль тунель узняты. Профіль «пункт-да-сайта» дае гэты адрас, а профіль, які нічога не дае, пакідае аперацыйнай сістэме магчымасць вярнуцца да стандартных налад адаптара.

Публічныя рэзалверы не бачаць прыватнай зоны, таму адказваюць з інтэрнэту — гэта менавіта іх праца. Такім чынам, першая праверка — гэта адрас рэзалвера, які выкарыстоўваецца, а не тунель і не канчатковая кропка.

Прачытайце, чым насамрэч з'яўляецца адказ

Вырашыце імя службы і прачытайце адрас, які вярнуўся. Публічны адказ азначае, што запыт дасягнуў сервера, які не бачыць зоны. Адсутнасць адказу азначае, што імя існуе толькі прыватна і нішто дасягальнае для кліента яго не трымае.

Гэтыя два вынікі даюць падобныя памылкі праграм і належаць розным уласнікам. Адзін — праблема выбару рэзалвера, другі — адсутная сувязь зоны.

Запіс у hosts даказвае шлях, а потым хлусіць

Запіс адраса канчатковай кропкі ў лакальны файл hosts — самы хуткі спосаб даказаць, што тунель і міжсеткавы экран службы ўжо працуюць. Калі запыт з гэтым запісам паспяховы, зламана толькі вырашэнне імёнаў. Гэта таксама праўка для адной машыны, якая ахоплівае роўна адно імя.

Яна не дапамагае другому ўліковаму запісу, другой канчатковай кропцы ці калегу, і ламаецца без папярэджання, калі канчатковую кропку пераствараюць па новым адрасе.

Горш за тое, ваша машына пачынае паводзіць сябе не так, як усе астатнія, — менавіта так няспраўнасць рэзалвера перажывае тыдзень расследавання. Выкарыстайце запіс, каб пацвердзіць шлях, потым прыбярыце яго і выпраўце прычыну.

Злучыце зону і выдайце рэзалвер

Дзве ўмовы павінны выконвацца адначасова. Прыватная зона павінна быць далучана да віртуальнай сеткі, дзе жыве канчатковая кропка, а кліент павінен адпраўляць запыты на сервер, які можа чытаць гэтую зону. Уваходная канчатковая кропка DNS Private Resolver дае такі адрас унутры сеткі і адказвае на запыты, што прыходзяць праз тунель. Запішыце гэты адрас у профіль VPN і дадайце прыватны суфікс, які кліент павінен ужываць.

Ужо наяўны лакальны рэзалвер можа дасягнуць таго ж выніку праз умоўны перанакіравальнік, накіраваны на зону.

Сеткавыя правілы на рэзалверы важныя не менш за маршрутызацыю. Калі ўваходнае правіла выключае дыяпазон кліентаў VPN, запыты сканчаюцца тайм-аўтам, а не вяртаюць няправільны адказ. Менавіта гэты тайм-аўт вяртае людзей да табліцы маршрутаў, дзе ўсё ў парадку.

Правярайце імя, порт і ідэнтычнасць па парадку

Працаваць па парадку: вырашыце імя, пацвердзіце, што адказ прыватны, адкрыйце порт, затым зрабіце аўтэнтыфікаваны запыт. У кожнага этапа свой уласнік і свой подпіс збою.

Прыватны адказ, за якім ідзе тайм-аўт, паказвае на маршрут або міжсеткавы экран. Публічны адказ паказвае на рэзалвер. Завершанае злучэнне, якое вяртае памылку ідэнтычнасці, належыць службе.

Да гэтага спісу належыць яшчэ адзін збой. Міжсеткавы экран службы, які дазваляе адрас кліента, перастае супадаць, калі пул пасля перападключэння аддае гэты адрас іншай сесіі. Чытайце адрас выклікальніка, запісаны службай, а не той, які кліент лічыць сваім. Яны разыходзяцца часцей, чым людзі чакаюць. Рэкамендацыі Azure DNS Private Resolver апісваюць сувязь зоны і схему перанакіравання.