Kako čitati VPN DNS usmjeravanje po vezi iz izlaza resolvectl
resolvectl status prikazuje servere, domene i zadanu rutu po vezi. Čitajte ih zajedno, zatim upitajte ime i zabilježite koja je veza odgovorila.
Pokrenite resolvectl status i dobit ćete zid blokova po vezi, svaki sa svojim serverima i svojim redom domena. Red koji odlučuje o usmjeravanju je popis domena, a ne adresa servera imena, jer lokalni stub prosljeđuje svaki upit onoj vezi koja polaže pravo na ime. Pročitajte te tvrdnje prije nego što pročitate odgovor, zatim upitajte ime i provjerite koja ga je veza proizvela. Pogrešan odgovor s prave veze drugi je problem od ispravnog odgovora s pogrešne.
Što vam govori svaki blok po vezi
Svaki blok navodi servere koje će razrješivač koristiti za to sučelje, popis domena i je li veza zadana ruta. Popis domena je skup tvrdnji, a razrješivač primjenjuje podudaranje najduljeg sufiksa: upit za host.corp.example polaže veza koja nosi corp.example prije one koja nosi samo zadanu rutu. Dvije veze koje polažu isti sufiks ostavljaju ishod prioritetu i redoslijedu, zato duplikati zaslužuju prvu pažnju. Red trenutnog servera pokazuje koji je od navedenih servera u tom trenutku u upotrebi.
Adresa stuba poput 127.0.0.53 u /etc/resolv.conf govori samo da je stub sprijeda. Ne imenuje uzvodni server koji je odgovorio, zato dijagnoza samo na temelju resolv.conf zapinje.
Ispravno čitajte tri vrste unosa domene
| Unos | Na što polaže pravo | Uobičajena greška |
|---|---|---|
| corp.example | domena usmjeravanja i sufiks pretrage: imena ispod nje idu na ovu vezu, a niz se dodaje golim imenima | uklonjeno jer usmjeravanje ionako izgleda da radi |
| ~corp.example | samo ruta: imena ispod nje idu na ovu vezu, ali sufiks se ne dodaje | pretpostavljeno da je potreban za usmjeravanje |
| ~. | zadana ruta: polaže na upite koje nijedna druga veza ne pokriva | ostavljeno aktivnim na podijeljenom profilu, pa javna imena slijede tunel |
Tilda mijenja ponašanje pretrage, ne usmjeravanje. Unos bez tilde je i domena usmjeravanja i domena pretrage, pa se imena ispod nje šalju na tu vezu i jednodijelnim imenima dodaje se sufiks. Unos s tildom usmjerava isti sufiks, ali ga drži izvan popisa pretrage. Zato uklanjanje tilde mijenja koja se gola imena razrješavaju i zato nedostajuća tilda je problem pretrage, a ne kvar podijeljenog DNS-a.
Unos zadane rute polaže na sve što nijedna druga veza ne pokriva. Profil punog tunela obično ga želi, a podijeljeni profil obično ne, jer javna imena tada putuju do privatnog razrješivača i mogu tamo pasti. Čitajte tablicu prema namjeri profila, umjesto da kopirate zastavice među profilima. Kad dvije veze polažu isti sufiks, riješite pitanje prioriteta prije nego uredite bilo što drugo.
Upitajte ime i vidite koja je veza odgovorila
Potkomanda query ispisuje adresu, protokol i vezu ili opseg koji su proizveli odgovor. Testirajte jedno ime koje bi trebao polagati privatni sufiks i jedno obično javno ime, zatim usporedite prijavljene izvore. Ako privatno ime odgovara s bežične veze, tvrdnja nedostaje ili je tunel pao; ako javno ime na podijeljenom profilu odgovara iz tunela, zadana ruta je preširoka. Ta dva kvara izgledaju jednako u pregledniku i suprotno u ovom izlazu.
resolvectl status
resolvectl query host.corp.examplePazite i na prijavljeni protokol, jer predmemorirani odgovor ili odgovor iz datoteke hostova može stići bez ikakvog pitanja uzvodnom serveru. Odgovor iz predmemorije dokazuje da se ime jednom razriješilo, ne da ga trenutna politika ispravno usmjerava.
Držite usmjeravanje imena odvojeno od usmjeravanja paketa
Odluka razrješivača ne stvara put. Odabrani server još treba rutu do svoje adrese, a vraćena adresa još treba rutu u privatnu mrežu, pa ispravna DNS politika može postojati uz vezu koja se nikad ne otvori. Kad se ime razriješi, a aplikacija ne uspije, pregledajte adresu i rutu umjesto da ponovno mijenjate DNS. Razrješavanje imena i dostupnost dva su pitanja s dva različita vlasnika.
Aplikacije mogu potpuno zaobići sustavni razrješivač kroz vlastitu postavku sigurnog DNS-a ili ugrađeni razrješivač. Rezultat resolvectl opisuje sustavni put, a preglednik koji ga zanemari neće se slagati ni s jednim vašim testom. Provjerite tu postavku prije nego zaključite da je politika slomljena.
Zabilježite adresu na koju se ime razriješilo uz vezu. Ispravno ime koje pokazuje na pogrešnu adresu problem je zapisa, a ne usmjeravanja.
Provjerite ponovno nakon promjene veze
Ponovno povezivanje ili promjena bežične mreže obnavlja stanje veze, a mrežni upravitelj može ponovno instalirati svoje domene i servere preko svega što je postavljeno ručno. Zatim upitajte ista dva imena i usporedite sa zapisanom osnovnom linijom. Ako je ručna izmjena nestala, popravak pripada profilu veze a ne naredbi u ljusci. Bilježenje prije i poslije je ono što to čini vidljivim.
Podijelite samo imena i kontekst servera koji izvještaj treba, jer unutarnji sufiksi otkrivaju topologiju. Dokumentacija systemd-resolved o usmjeravanju domena pokriva pravilo najduljeg podudaranja i ponašanje tilde, a jedno čitanje sprječava većinu pogrešaka iz tablice gore: usmjeravanje upita u systemd-resolved.