DNS gosta u VirtualBox NAT-u pada nakon što se host pridruži VPN-u

Na Windows hostu interno ime aplikacije razrješava se čim se VPN spoji, a unutar gosta Ubuntu ne. Gost zadržava vlastite postavke resolvera, a NAT adapter ispred njega može odgovarati na DNS upite na dva različita načina. Usmjeravanje gosta na javni resolver ponovno učitava web-stranice, dok privatna imena ostaju slomljena. Zato se put resolvera prati prije nego što se bilo što uredi.

Pratite jedno upit kroz NAT adapter

Odaberite jedno interno potpuno kvalificirano ime i jedno javno ime kao kontrolu. S podignutim tunelom potvrdite na hostu da se interno ime razrješava i da se aplikacija iza njega otvara. Zatim pokrenite ista dva upita unutar gosta i usporedite odgovore, a ne alate.

Potvrdite da je adapter doista običan NAT prije nego što nastavite. Premošteni adapter, imenovana NAT mreža i drugi VPN klijent unutar gosta svaki ima vlastitu konfiguraciju i vlastito objašnjenje. Nagađanje u ovom trenutku troši ostatak istrage.

VBoxManage showvminfo work-ubuntu --machinereadable | grep -i natnet
resolvectl status | head -40
cat /etc/resolv.conf

Prva naredba prikazuje način adaptera i svaku NAT mrežu povezanu s njim. Unutar gosta Ubuntu druga navodi DNS postavke po vezi, a treća često otkriva samo lokalnu stub adresu, što znači da pravi upstream sjedi negdje drugdje.

Držite razrješavanje i dostupnost odvojeno. Gost koji primi ispravnu adresu ali ne može otvoriti vezu ima problem usmjeravanja, filtriranja ili dopuštenja usluge, i daljnje DNS promjene to nikada neće dotaknuti. Testirajte adresu zasebno i zapišite što je od to dvoje zakazalo.

Proxy način i način resolvera hosta različiti su mehanizmi

U proxy načinu NAT motor prosljeđuje upite gosta DNS poslužiteljima koje već poznaje. U načinu resolvera hosta presreće upit i traži od operacijskog sustava hosta da razriješi ime onim što host sada koristi. Samo drugi slijedi VPN klijent koji prepisuje razrješavanje na hostu kad se tunel podigne. Zato dvije postavke daju različite odgovore na istom stroju.

Ta razlika cijeli je problem u jednoj rečenici. Dati gostu popis adresa poslužitelja nije isto što i zamoliti Windows da razriješi ime preko svog konfiguriranog resolvera, a na VPN-u s podijeljenim DNS-om dva se odgovora razlikuju. Opcija adaptera odnosi se na mehanizam, ne na dopuštenje.

Nijedan način ne daje pristup ničemu. Autorizacija živi u VPN politici i u usluzi, a upit koji radi znači samo da se ime pretvorilo u adresu.

Promijenite adapter, zatim provjerite što gost prima

Prvo zabilježite mrežne i DNS postavke VM-a, zatim isključite stroj kako biste uređivali trajnu konfiguraciju. Za VM imena work-ubuntu čiji prvi adapter nosi NAT, opcija po adapteru postavlja se s hosta dok je VM isključen. Zatim ga ponovno pokrenite i pregledajte rezultat umjesto da vjerujete izlaznom statusu.

VBoxManage modifyvm work-ubuntu --natdnshostresolver1 on
VBoxManage showvminfo work-ubuntu --machinereadable | grep -i natdns

Posljednja znamenka odabire broj adaptera, pa to nije univerzalna vrijednost; postavka za adapter 2 nosila bi 2 na tom mjestu. Koristite VBoxManage binarni program koji pripada instaliranoj verziji VirtualBoxa, jer stariji u putu može zapisati postavke koje pokrenuta verzija ignorira.

Uključivanje proxy opcije umjesto toga odabire drugi mehanizam i ne daje vam ponašanje resolvera hosta. Nakon što gost pokrene, provjerite DNS konfiguraciju koju doista drži, jer prikvačeni resolver ili postavka šifriranog DNS-a unutar gosta drži aplikacije na drugom putu bez obzira na to što adapter nudi.

Testirajte kroz cijeli životni ciklus VPN-a, ne samo jednom

Ponovite oba upita u gostu, zatim otvorite pravu aplikaciju i pustite je da provjeri TLS ime hosta. Test veze samo putem IP-a dobro izolira DNS, ali to nije provjera certifikata i ne bi se tako trebalo prijaviti. Zabilježite ime, adresu i rezultat aplikacije zajedno.

Tijekom odobrenog prozora odspojite i ponovno spojite VPN hosta i ponovite test. Rezultat bi trebao odgovarati politici pristupa, a to što javno razrješavanje ponovno radi ne govori ništa o tome jesu li privatni upiti ostali na predviđenom putu.

Kad način resolvera hosta ništa ne mijenja, vratite zabilježenu vrijednost i zadržite opažanja. VPN klijent koji isključuje promet hypervisora, nedostupni interni resolver i prikvačena postavka gosta trebaju svaki drugu ispravku, a premošćivanje adaptera mijenja mrežni dizajn umjesto da resetira DNS.