Имената на VPN хостове не работят, а IP адресите работят: къде да търсим

Достъпът по IP работи, а имената се провалят — това сочи към суфикси и наложени резолвери, а не към маршрути. Прегледайте адреса, пълното име, краткото име и стария път.

Можете да отворите споделения ресурс по адрес, а същият ресурс по име се проваля, което означава, че тунелът пренася пакети, а слоят за имена не. Това единствено наблюдение спестява обходен път през промени по защитната стена и маршрутите. Имената се нуждаят от суфикс, резолвер и път за заявката, а VPN клиент може да инсталира маршрут, без да инсталира нито едно от тях. Изминете четирите проверки по-долу по ред и спрете на първата, която се счупи.

Името задава въпрос, който адресът не задава

Адресът е местоназначение, което стекът може да използва веднага. Краткото име е въпрос, който трябва да бъде разширен със суфикс, изпратен до резолвер и отговорен от нещо, което познава зоната. Тунел, който инсталира маршрути, но не и резолвер, оставя първото работещо и второто счупено. Затова симптомът изглежда толкова последователен при много различни VPN продукти.

Работете навън от адреса: първо пълното име, после голото име на хост и отбележете кое от трите работи. Моделът ви казва кой слой да проверите, преди да отворите дори един екран с настройки. Да гадаете маршрути, когато пълното име се разрешава, е похабен труд.

Прочетете резолвера, който тунелът действително е инсталирал

Попитайте операционната система кой резолвер обработва заявките за вътрешната зона, а не кой обявява интерфейсът на VPN клиента. Сървър, който налага публичен резолвер без вътрешна зона, дава точно този отказ и това е грешка в настройките, а не повреда в маршрутизацията.

resolvectl status
nslookup fileserver.corp.example
nslookup fileserver

При Windows клиент, присъединен към домейн, политиката за маршрутизация на пространството от имена решава кои заявки отиват при кой резолвер, а собствените DNS настройки на VPN адаптера се показват в подробностите на адаптера. Четете действащата политика, а не профила, защото кеширана политика може да преживее връзката, която я е инсталирала. Ако резолверът отговаря на пълното име, но не на краткото, проблемът вече се е преместил в списъка със суфикси.

Get-DnsClientNrptPolicy
ipconfig /all

Спрете, ако вътрешната зона се разрешава през правилния сървър. Резолверът не е вашият проблем.

Суфиксите обясняват кратките имена, които се провалят

Име с една част се разширява със списъка със суфикси на връзката, преди заявката да бъде изпратена. Ако VPN не достави вътрешния суфикс, fileserver никога не става fileserver.corp.example и заявката излиза като име, което никой публичен резолвер не познава. Налагането на суфикса или въвеждането на пълното име проверява хипотезата, без да променя нищо на сървъра.

nslookup fileserver.corp.example
ping -a 192.168.50.20

В Linux услугата за резолвер свързва DNS сървър с връзка и набор от маршрутни домейни, така че наложен сървър, който не е свързан с връзката на тунела, се държи сякаш го няма. Проверявайте състоянието по връзка, а не stub файла, който може да сочи само към локалния резолвер. Същото разделяне се вижда и в другата посока: домейн за търсене, който присъства, но не е приложен към интерфейса на тунела, дава откази на кратки имена, които изглеждат случайни.

Ако добавянето на суфикса го оправя, остава да доставите този суфикс чрез VPN профила, вместо да искате от всеки потребител да го въвежда.

NetBIOS и WINS са друг механизъм

Старият SMB все още може да търси голо име чрез услугата за имена NetBIOS, която отговаря чрез широко предаване или чрез WINS сървър. Широкото предаване остава в един домейн на широко предаване и спира на първия рутер, затова не може да премине през тунел; WINS работи, защото клиентът има едноадресен адрес, на който да се регистрира и да пита. Затова VPN, който носи само IP, все още може да поддържа стари имена, когато WINS е настроен и достъпен.

nbtstat -n
nbtstat -R

За модерния SMB разчитайте на DNS и пълното име и пенсионирайте стария път. Ако наистина е стар, осигурете WINS или заменете приложението; средата е опашка за поддръжка, която никога не се изпразва.

Разходката свършва, когато можете да кажете кой слой се е счупил: резолвер, суфикс или старо откриване. Запишете резолвера, който отговори, и формата на името, която проработи, защото следващият човек ще започне от същия симптом.

Подобни статии