Fitxer de resolutor de macOS per a un domini local al costat d’una VPN

La vostra VPN de feina resol els noms de l’empresa perfectament mentre la impressora de casa continua inabastable pel nom, i la solució habitual a què la gent recorre és apuntar tot el Mac al router de casa. Això és un canvi molt més gran del que el problema requereix. macOS pot enviar un sol sufix DNS al seu propi servidor mitjançant un fitxer de resolutor petit, deixant qualsevol altra consulta exactament on era.

La frontera de permisos va primer: això és per a un domini que administreu o que teniu autorització per configurar. No és una ruta al voltant de la política DNS imposada per una organització ni de les seves restriccions de xarxa local.

Un fitxer amb una feina estreta

Suposem que la zona local és lab.example.org i el seu servidor respon a 192.168.55.1. En un Mac on teniu permís per fer el canvi, un administrador crea un fitxer de text pla el nom del qual és el domini mateix, /etc/resolver/lab.example.org, que conté una sola nameserver 192.168.55.1 línia. El directori pot no existir en un sistema nou, així que creeu-lo amb drets d’administrador i mireu abans d’escriure, per si un programari de gestió ja té un fitxer allà.

La configuració de resolutor d’Apple documenta la convenció que el nom del fitxer proporciona el domini quan dins del fitxer no apareix cap paràmetre de domini separat. Aquesta regla de nomenclatura és tot el truc, i és per això que el fitxer s’ha de nomenar per a la zona i no per al servidor.

Com tria macOS entre resolutors

Més d’un client de resolutor pot estar actiu, i guanya el domini coincident més específic. Un resolutor per a lab.example.org té per tant un abast diferent del resolutor per defecte, i un subdomini més específic amb fitxer propi pot tornar a prendre precedència. Això és el que permet que una VPN de feina conservi el seu sufix mentre la vostra zona de laboratori va a un altre lloc. Res d’aquest arranjament no és global, i aquest és el punt que val la pena recordar.

Deixeu /etc/resolv.conf en pau. macOS escriu aquest fitxer ell mateix, i mai no va contenir la imatge completa de la resolució específica per domini. La configuració també pot arribar de la base de dades de configuració del sistema en lloc de fitxers d’aquest directori, i és per això que un perfil de gestió pot anul·lar el que heu escrit.

Tres coses que el fitxer no pot proporcionar

El servidor ha de ser abastable. Si la VPN bloqueja la xarxa local, o una ruta corporativa captura el rang d’adreces del servidor, un fitxer de sufix perfectament correcte encara no pot lliurar una consulta. Porteu això al propietari de la xarxa en lloc d’ampliar excepcions locals pel vostre compte.

La zona ha de contenir la resposta correcta, i això es prova millor amb un nom completament qualificat com ara printer.lab.example.org. Un nom curt pot activar el comportament de domini de cerca i acabar fent una pregunta diferent de la que volíeu fer.

Finalment, l’aplicació ha de poder utilitzar la resposta. Resoldre el nom d’una impressora no dona accés a la seva adreça, i no obre el servei que hi ha darrere. L’adreça retornada encara necessita una ruta permesa i una política d’accés que permeti la connexió. Un fitxer de resolutor canvia on es busca un nom; no reserva un camí per al resultat.

Verifiqueu la selecció en lloc de substituir el DNS

Comproveu què està utilitzant realment macOS ara mateix, i consulteu el nom completament qualificat des de dins de l’aplicació mateixa o des d’una eina que resolgui com ho fan les aplicacions. Una consulta directa a 192.168.55.1 demostra que el servidor respon; no demostra que macOS hagi triat aquest servidor per a les consultes ordinàries. Són fets diferents, i només el segon descriu el que experimentarà el vostre navegador.

Si un altre resolutor ja reclama el mateix sufix, esbrineu qui en és el propietari abans d’afegir indicacions de prioritat. El paràmetre search_order documentat ordena els clients que comparteixen un domini; no és un interruptor global de preferències que faci guanyar un resolutor general en cada consulta.

Confirmeu que els noms de l’empresa encara es resolen amb la VPN connectada, i després anoteu el fitxer i la seva finalitat a les notes locals. Quan es retiri l’arranjament, suprimiu només aquest fitxer i torneu a comprovar tots dos espais de noms en lloc de restablir tota la configuració DNS de la xarxa.