DNS госця VirtualBox NAT ламаецца пасля падключэння хоста да VPN

На хосце Windows унутранае імя праграмы вырашаецца, як толькі падключаецца VPN, а ўнутры госця Ubuntu — не. Госць захоўвае ўласныя налады рэзалвера, а NAT-адаптар перад ім можа адказваць на запыты DNS двума рознымі спосабамі. Калі накіраваць госця на публічны рэзалвер, сайты зноў загружаюцца, а прыватныя імёны застаюцца зламанымі. Таму шлях рэзалвера прасочваюць перад любымі зменамі.

Прасачыце адзін запыт праз NAT-адаптар

Выберыце адно ўнутранае цалкам кваліфікаванае імя і адно публічнае імя як кантроль. Пры ўзнятым тунелі пацвердзіце на хосце, што ўнутранае імя вырашаецца і праграма за ім адкрываецца. Затым выканайце тыя ж два запыты ўнутры госця і параўнайце адказы, а не інструменты.

Перад тым як ісці далей, пацвердзіце, што адаптар сапраўды звычайны NAT. Маставы адаптар, названая сетка NAT і другі VPN-кліент унутры госця маюць кожны сваю канфігурацыю і сваё тлумачэнне. Здагадкі на гэтым этапе марнуюць астатак расследавання.

VBoxManage showvminfo work-ubuntu --machinereadable | grep -i natnet
resolvectl status | head -40
cat /etc/resolv.conf

Першая каманда паказвае рэжым адаптара і любую сетку NAT, далучаную да яго. Унутры госця Ubuntu другая пералічвае налады DNS для кожнага злучэння, а трэцяя часта паказвае толькі лакальны адрас-заглушку, што азначае, што сапраўдны вышэйшы рэзалвер знаходзіцца ў іншым месцы.

Трымайце вырашэнне і дасягальнасць асобна. Госць, які атрымлівае правільны адрас, але не можа адкрыць злучэнне, мае праблему маршрутызацыі, фільтрацыі або дазволаў службы, і далейшыя змены DNS ніколі яе не закрануць. Праверце адрас асобна і запішыце, што менавіта з двух не ўдалося.

Рэжым проксі і рэжым рэзалвера хоста — розныя механізмы

У рэжыме проксі рухавік NAT перасылае запыты госця да сервераў DNS, якія ён ужо ведае. У рэжыме рэзалвера хоста ён перахоплівае запыт і просіць аперацыйную сістэму хоста вырашыць імя тым, што хост выкарыстоўвае цяпер. Толькі другі ідзе за VPN-кліентам, які перапісвае вырашэнне на хосце, калі ўзнімаецца тунель. Таму дзве налады даюць розныя адказы на адной машыне.

Гэтае адрозненне — уся праблема ў адным сказе. Дасць госцю спіс адрасоў сервераў — не тое ж самае, што папрасіць Windows вырашыць імя праз яго наладжаны рэзалвер, а ў VPN з падзелам DNS два адказы розняцца. Опцыя адаптара пра механізм, а не пра дазвол.

Ніводзін рэжым не дае доступу ні да чаго. Аўтарызацыя жыве ў палітыцы VPN і ў службе, а працоўны запыт азначае толькі, што імя ператварылася ў адрас.

Пераключыце адаптар, затым праверце, што атрымлівае госць

Спачатку запішыце налады сеткі і DNS віртуальнай машыны, затым выключыце яе, каб рэдагаваць менавіта пастаянную канфігурацыю. Для ВМ з імем work-ubuntu, чый першы адаптар нясе NAT, опцыя для канкрэтнага адаптара задаецца з хоста, пакуль ВМ выключана. Пасля гэтага запусціце яе зноў і агледзьце вынік, а не давярайце кодзе выхаду.

VBoxManage modifyvm work-ubuntu --natdnshostresolver1 on
VBoxManage showvminfo work-ubuntu --machinereadable | grep -i natdns

Апошняя лічба выбірае нумар адаптара, таму гэта не ўніверсальнае значэнне; налада для адаптара 2 несла б 2 на гэтым месцы. Выкарыстоўвайце бінарнік VBoxManage, які належыць усталяванай версіі VirtualBox, бо старэйшы ў шляху можа запісаць налады, якія працуючая версія ігнаруе.

Уключэнне замест гэтага опцыі проксі выбірае іншы механізм і не дае паводзін рэзалвера хоста. Пасля запуску госця праверце канфігурацыю DNS, якую ён фактычна трымае, бо замацаваны рэзалвер або налада шыфраванага DNS унутры госця трымае праграмы на іншым шляху, незалежна ад таго, што прапануе адаптар.

Тэстуйце на працягу ўсяго жыццёвага цыкла VPN, а не адзін раз

Паўтарыце абодва запыты ў госці, затым адкрыйце сапраўдную праграму і дайце ёй праверыць імя хоста TLS. Тэст злучэння толькі па IP добра ізалюе DNS, але ён не праверка сертыфіката і не павінен выдавацца за яе. Запішыце імя, адрас і вынік працы праграмы разам.

У адобранае акно адключыце і зноў падключыце VPN хоста і паўтарыце тэст. Вынік павінен адпавядаць палітыцы доступу, а тое, што публічнае вырашэнне зноў працуе, нічога не кажа пра тое, ці засталіся прыватныя запыты на патрэбным шляху.

Калі рэжым рэзалвера хоста нічога не змяняе, вярніце запісанае значэнне і захавайце назіранні. VPN-кліент, які выключае трафік гіпервізара, недасягальны ўнутраны рэзалвер і замацаваная налада госця патрабуюць кожны сваёй папраўкі, а аб'яднанне адаптара ў мост змяняе дызайн сеткі, а не скідае DNS.