DNS dividit sobre OpenVPN: què ha de fer un domini d'encaminament a cada sistema operatiu

Cada petició de DNS dividit comença amb la mateixa frase: els noms de l'empresa van al DNS de l'empresa, i tota la resta continua funcionant. Convertir aquesta frase en una configuració vol dir respondre tres preguntes per sistema operatiu, i les respostes fan servir mecanismes diferents a cada un. Els perfils que funcionen en un portàtil amb Linux sovint fallen a Windows per motius que no tenen res a veure amb el túnel. La diferència sol ser un paràmetre del resolutor confós amb una ruta.

Primer anomeneu la política i després trieu la primitiva de la plataforma que l'expressa.

Tres paràmetres que és fàcil confondre

Un sufix de cerca amplia un nom curt: escriure files es converteix en files.corp.example quan el resolutor prova els sufixos en ordre. Un domini d'encaminament selecciona quin resolutor respon les consultes dins d'un espai de noms. Una ruta IP només fa que el resolutor triat sigui abastable. Aquests tres viuen en capes diferents, i intercanviar-ne un per un altre produeix una configuració que sembla correcta i no resol res.

La confusió té un cost: afegir un sufix de cerca envia tots els noms curts al resolutor de la feina, inclosos noms que pertanyen a un altre lloc. Triar un domini d'encaminament manté les consultes no relacionades al resolutor local mentre continua enviant *.corp.example pel túnel.

Linux: un domini només d'encaminament, no un sufix de cerca

A systemd-resolved, un domini amb una titlla al davant és un domini només d'encaminament, és a dir, les consultes d'aquest espai de noms van al resolutor enllaçat sense convertir-se també en sufix de cerca. resolvectl domain tun0 '~corp.example' ho estableix, i resolvectl dns tun0 10.8.0.1 anomena el servidor. Els dos paràmetres pertanyen a la interfície, així que desapareixen amb ella. La titlla és la part que la gent omet, i sense ella els noms curts comencen a resoldre's a través del resolutor de la feina.

No instal·leu també el mateix domini com a sufix de cerca global. Els dos paràmetres no són redundants; un encamina i l'altre reescriu el que heu escrit.

Windows necessita una política d'espai de noms, no un sufix

Windows guarda la política de DNS dividit a la Name Resolution Policy Table, no al sufix DNS de l'adaptador. Una regla assigna un espai de noms a servidors concrets: Add-DnsClientNrptRule -Namespace .corp.example -NameServers 10.8.0.1. Establir només el sufix canvia l'aspecte dels noms curts; no dirigeix la consulta a un altre servidor.

Comproveu la política efectiva amb Get-DnsClientNrptPolicy després de connectar, perquè una regla d'una connexió anterior pot sobreviure al túnel. Traieu les regles pel nom quan el túnel caigui, i manteniu el nom de visualització estable perquè la neteja apunti a l'entrada correcta.

Manteniu un sol amo del resolutor per plataforma

Un gestor d'escriptori, un script up d'OpenVPN i un dimoni de resolutor local poden intentar escriure la mateixa configuració. Quan no es posen d'acord, guanya l'últim que escriu i el resultat depèn de l'ordre de desmuntatge. Trieu un component perquè sigui l'amo de l'estat del resolutor, deixeu que els altres informin en lloc d'escriure, i proveu una reconnexió: la política hauria de sobreviure-hi sense duplicar regles. Proveu també una desconnexió, perquè l'estat que queda és el que fa que la connexió següent es comporti diferent.

Les aplicacions que porten el seu propi resolutor xifrat ignoren completament la política del sistema operatiu. Això és una propietat de l'aplicació, no un defecte del túnel.

Verifiqueu el resultat, no el text del perfil

Resoleu un nom que ha d'anar pel túnel i un que no, a cada plataforma, i confirmeu quin servidor ha respost. resolvectl query host.corp.example i Resolve-DnsName host.corp.example informen tots dos del servidor que ha respost. Repetiu-ho després d'una reconnexió. Després confirmeu que el resolutor del túnel és abastable a l'adreça que empeny el perfil, perquè una política correcta que apunta a un servidor inabastable falla igual que no tenir-ne cap.

Anoteu el comportament previst a les notes del perfil: quin sufix encamina, quin servidor l'hi respon i què passa amb tota la resta. La propera plataforma que suporteu necessitarà aquesta frase més que no pas el fitxer de configuració.