Защо частна крайна точка все още отговаря с публичен адрес

Лаптопът се свързва, тунелът се отчита като активен, а профилът за съхранение все още отхвърля всяка заявка. Частната крайна точка съществува, маршрутът към нейната подмрежа съществува, а името или отговаря с публичен адрес, или не се разрешава. С тунела няма нищо нередно: на клиента никога не е било казано кой сървър трябва да отговаря за това име. Проследете заявката навън и пропускът става очевиден.

Започнете от резолвера на клиента

Попитайте клиента кой сървър пита, докато тунелът е активен. Профилът точка към сайт предоставя този адрес, а профил, който не предоставя нищо, оставя операционната система да се върне към настройките по подразбиране на адаптера.

Публичните резолвери не виждат частна зона, затова отговарят от интернет — точно това им е работата. Следователно първата проверка е адресът на използвания резолвер, а не тунелът и не крайната точка.

Прочетете какъв е отговорът в действителност

Разрешете името на услугата и прочетете адреса, който се връща. Публичен отговор означава, че заявката е стигнала до сървър, който не вижда зоната. Липсата на отговор означава, че името съществува само частно и нищо достъпно за клиента не го съдържа.

Тези два изхода дават сходни грешки в приложението и принадлежат на различни собственици. Единият е проблем с избора на резолвер, другият е липсваща връзка към зоната.

Записът в hosts доказва пътя, после лъже

Записването на адреса на крайната точка в локалния файл hosts е най-бързият начин да докажете, че тунелът и защитната стена на услугата вече работят. Ако заявката успее с този запис, счупено е само разрешаването на имена. Това е и промяна за една машина, която покрива точно едно име.

Тя не помага на втория профил, на втората крайна точка или на колега и се чупи без предупреждение, когато крайната точка бъде създадена наново на нов адрес.

По-лошо, тя кара вашата машина да се държи различно от всички останали — така неизправност в резолвера преживява седмица разследване. Използвайте я, за да потвърдите пътя, после я премахнете и отстранете причината.

Свържете зоната и раздайте резолвер

Две условия трябва да са изпълнени едновременно. Частната зона трябва да е свързана с виртуалната мрежа, в която живее крайната точка, а клиентът трябва да изпраща заявките си до сървър, който може да чете тази зона. Входящата крайна точка на DNS Private Resolver предоставя такъв адрес вътре в мрежата и отговаря на заявки, пристигащи през тунела. Поставете този адрес в профила на VPN и добавете частния суфикс, който клиентът трябва да прилага.

Вече наличен локален резолвер може да постигне същия резултат чрез условно препращане, насочено към зоната.

Мрежовите правила на резолвера имат същото значение, както маршрутизацията. Ако входящото правило изключва диапазона на VPN клиентите, заявките изтичат, вместо да върнат грешен отговор. Именно това изтичане връща хората към таблица с маршрути, в която няма нищо нередно.

Проверявайте име, порт и самоличност по ред

Работете по ред: разрешете името, потвърдете, че отговорът е частен, отворете порта, след това направете удостоверена заявка. Всеки етап има свой собственик и свой подпис на отказ.

Частен отговор, последван от изтичане, сочи към маршрут или защитна стена. Публичният отговор сочи към резолвера. Завършена връзка, която връща грешка за самоличност, принадлежи на услугата.

Още един отказ принадлежи в този списък. Защитна стена на услугата, която разрешава адрес на клиент, спира да съвпада, когато пулът даде този адрес на друга сесия след повторно свързване. Четете адреса на извикващия, който услугата е записала, а не този, който клиентът смята, че има. Двете се разминават по-често, отколкото хората очакват. Насоките за Azure DNS Private Resolver обхващат връзката към зоната и схемата за препращане.