El VPN d'Android resol el nom d'amfitrió complet però no el nom curt

Escriviufilesen un emulador de terminal i no torna res; escriviufiles.corp.examplei el mateix servidor respon de seguida. No ha canviat res a les credencials del VPN, i el servidor DNS privat no s'havia espatllat mai. A Android, l'etiqueta curta i el nom complet segueixen camins diferents a través del resolutor, i un d'aquests camins depèn d'un paràmetre que ha de proporcionar el propietari del túnel. La decisió que teniu davant no és quin servidor DNS canviar, sinó qui controla la xarxa que l'aplicació fa servir realment.

Un domini de cerca no és una adreça. És una llista de sufixos que el resolutor afegeix a una etiqueta nua abans de rendir-se.

Un sufix de cerca i un servidor DNS són camps separats

L'adreça del resolutor diu a Android on ha de preguntar. El sufix de cerca li diu què ha de preguntar quan només proporcioneu l'etiqueta més a l'esquerra. Tots dos viuen al mateix objecte de xarxa, i qualsevol dels dos pot faltar pel seu compte.

Aquesta independència és exactament per què funciona el nom d'amfitrió complet. Un nom completament qualificat no necessita sufix, perquè ja és la cadena que va al servidor.

Android exposa aquesta separació mitjançantLinkProperties. La llista de servidors DNS i la llista de cerca de dominis seuen al mateix objecte, i la segona sol estar buida fins i tot quan la primera és plena. Una xarxa amb resolutor però sense domini és una xarxa on el sufix no s'ha aplicat mai — no un servidor que hagi rebutjat el nom curt.

Llegiu la xarxa efectiva abans de canviar res

Wi-Fi, la xarxa mòbil i una interfície VPN són tres xarxes separades, i el túnel es converteix en la predeterminada quan s'aixeca. Per tant, el sufix que funcionava al Wi-Fi de l'oficina no és automàticament el sufix vigent mentre el túnel és actiu. Inspeccioneu la xarxa on l'aplicació està realment seleccionada, no la que vau configurar la setmana passada.

Un intèrpret de terminal al dispositiu és un testimoni pobre aquí, perquè el seuresolv.confreflexa una visió del resolutor i no la de cada aplicació.

Les barres d'adreces dels navegadors hi afegeixen una altra capa: una paraula nua pot tractar-se com una consulta de cerca, o resoldre's mitjançantla política pròpia de DNS xifrat del navegador, així que una pàgina que es carrega a Chrome no demostra res sobre les consultes del sistema. Proveu amb una cosa que faci servir el resolutor de la plataforma i imprimeixi què ha tornat. Després executeu la forma curta i la forma completa a la mateixa sessió, a la mateixa xarxa, i anoteu quina ha produït una resposta.

Si construïu l'aplicació VPN, adjunteu el sufix al constructor

Quan la vostra aplicació estableix la interfície mitjançantVpnService,addSearchDomainés l'entrada admesa per a això. Accepta una cadena de domini com aracorp.example, i no és una manera alternativa de passar una adreça de servidor.

La crida lliga el sufix a la xarxa que esteu construint, així que no hi ha cap paràmetre global per girar després. Si l'aplicació desmunta la interfície i la torna a construir en reconnectar-se, el nou constructor necessita el sufix afegit de nou, o la xarxa de substitució s'aixeca sense ell.

Aquí és on moltes importacions de perfils d'escriptori perden el camp. L'exportador escriu el domini al seu propi model, el frontal d'Android només assigna les opcions que coneix, i la interfície resultant sembla correcta en tots els altres aspectes. Un perfil que funciona en un portàtil i falla en un telèfon sol ser una llacuna d'assignació, no un problema de protocol.

Si només consumeixes el VPN, això no és cosa teva de configurar

No hi ha cap edició al costat del client que afegeixi un sufix, ni cap propietat global que pugueu canviar per falsificar-ne un. El valor el lliura qui posseeix el túnel: al perfil del client gestionat, a la seva assignació per plataforma, o a través del que enviï el servidor. Digueu en quina plataforma esteu i quin nom falla, perquè els frontals d'escriptori i mòbil divergeixen precisament en aquest camp.

Tornar a importar un perfil d'escriptori no demostra res sobre l'assignació mòbil.

Tres condicions decideixen si teniu un defecte o una limitació esperada. Primera, tracta l'organització l'etiqueta curta com un nom admès, o és una comoditat que només va funcionar mai al Wi-Fi de l'oficina? Segona, ve la consulta fallida d'un navegador, que pot saltar-se del tot el resolutor del sistema? Tercera, s'ha de poder arribar al nom curt pel túnel, o només des de la LAN? Si la darrera resposta és només LAN, afegir un sufix crearia un nom que es resol fora de l'oficina i després no s'encamina.

Quan el sufix hi és i els noms curts encara fallen

Si la llista de cerca de dominis ja mostracorp.example, deixeu de culpar el sufix. Comproveu si el resolutor retorna alguna resposta per al nom ampliat, perquè un sufix només canvia la pregunta que feu. Mai no fa que el servidor sigui autoritatiu per a una zona que no allotja.

Després comproveu la ruta. Una adreça que es resol però que el túnel no transporta falla en connectar, cosa que sembla idèntica a una consulta fallida en un navegador que es rendeix en silenci.

Els certificats mereixen una menció pròpia. La validació HTTPS fa servir el nom d'amfitrió que heu escrit realment, així que un nom curt que s'amplia correctament encara presentafilesa l'apretada de mans. Un certificat emès per afiles.corp.exampleno validarà per a ell, i aquest error és un comportament correcte i no un símptoma del problema de DNS amb què vau començar.

Què fer a continuació

Confirmeu la separació abans de tocar res: el nom complet es resol, el curt no, la mateixa aplicació, la mateixa sessió. Després trobeu la xarxa seleccionada i llegiu la seva llista de cerca de dominis al costat de la llista de resolutors. La que de les dues estigui buida us diu qui ha d'actuar — vosaltres, si teniu l'aplicació; l'operador del túnel, si no.

Finalment, preferiu el nom de servei complet als marcadors i a la configuració del client on la portabilitat importi. Sobrevviu a un canvi de xarxa, no depèn d'una assignació que el frontal mòbil potser no implementa, i coincideix amb el nom pel qual es va emetre un certificat.