Файл на резолвера в macOS за локален домейн до VPN

Работният ви VPN разрешава имената на компаниите безупречно, докато принтерът у дома остава недостъпен по име, а обичайното решение, към което хората посягат, е да насочат целия Mac към домашния рутер. Това е много по-голяма промяна, отколкото изисква проблемът. macOS може да изпрати един DNS суфикс към собствения си сървър чрез малък файл на резолвера, оставяйки всяко друго търсене точно там, където е било.

Границата на разрешенията е на първо място: това е за домейн, който администрирате или за чието конфигуриране сте упълномощени. Това не е маршрут около наложената DNS политика на организацията или нейните ограничения за локалната мрежа.

Един файл с тясна задача

Да предположим, че локалната зона е lab.example.org и сървърът ѝ отговаря на 192.168.55.1. На Mac, където ви е разрешено да направите промяната, администратор създава обикновен текстов файл, чието име е самият домейн, /etc/resolver/lab.example.org, съдържащ един nameserver 192.168.55.1 ред. Директорията може да не съществува на нова система, затова я създайте с администраторски права и погледнете преди да пишете, в случай че софтуер за управление вече притежава файл там.

Конфигурацията на резолвера на Apple документира конвенцията, че името на файла дава домейна, когато във файла не се появи отделна настройка за домейн. Това правило за именуване е целият трик и точно затова файлът трябва да е именуван на зоната, а не на сървъра.

Как macOS избира между резолвери

Може да са активни повече от един клиент на резолвер и печели най-конкретният съвпадащ домейн. Резолвер за lab.example.org следователно има различен обхват от резолвера по подразбиране, а по-конкретен поддомейн със свой файл може отново да получи предимство. Това позволява на работния VPN да запази своя суфикс, докато лабораторната ви зона отива другаде. Нищо в тази подредба не е глобално и това си струва да се запомни.

Оставете /etc/resolv.conf на мира. macOS сам записва този файл и той никога не е съдържал пълната картина на разрешаването, специфично за домейна. Конфигурацията може да дойде и от системната база данни за конфигурация, а не от файлове в тази директория, поради което управленски профил може да отмени написаното от вас.

Три неща, които файлът не може да осигури

Сървърът трябва да е достъпен. Ако VPN блокира локалната мрежа или корпоративен маршрут прихваща диапазона с адреси на сървъра, напълно правилен файл за суфикс пак не може да достави заявка. Отнесете това към собственика на мрежата, вместо сами да разширявате локалните изключения.

Зоната трябва да държи правилния отговор и това се тества най-добре с напълно квалифицирано име като printer.lab.example.org. Краткото име може да задейства поведение на домейни за търсене и накрая да зададе различен въпрос от този, който сте имали предвид.

И накрая, приложението трябва да може да използва отговора. Разрешаването на името на принтер не дава достъп до адреса му и не отваря услугата зад него. Върнатият адрес все още се нуждае от разрешен маршрут и политика за достъп, която позволява връзката. Файлът на резолвера променя къде се търси име; той не запазва път за резултата.

Проверете избора, вместо да заменяте DNS

Вижте какво всъщност използва macOS в момента и задайте напълно квалифицираното име от самото приложение или от инструмент, който разрешава така, както го правят приложенията. Директна заявка към 192.168.55.1 доказва, че сървърът отговаря; тя не доказва, че macOS е избрал този сървър за обикновени търсения. Това са различни факти и само вторият описва какво ще преживее браузърът ви.

Ако друг резолвер вече претендира за същия суфикс, разберете кой го притежава, преди да добавяте подсказки за приоритет. Документираната search_order настройка подрежда клиентите, които споделят домейн; тя не е глобален превключвател за предпочитания, който кара общ резолвер да печели всяка заявка.

Потвърдете, че имената на компаниите все още се разрешават с включен VPN, след което запишете файла и целта му в локалните си бележки. Когато подредбата бъде премахната, изтрийте само този файл и проверете отново двете пространства от имена, вместо да нулирате всички мрежови DNS настройки.