Els noms interns curts fallen a la VPN: el sufix que mai no veus
Un nom curt només funciona perquè un sufix de cerca el completa. Compareu el nom complet i el curt per separar una mancança de sufix d’una fallada del resolutor.
El nom curt funcionava a l’oficina i falla a la VPN, mentre que el nom complet es resol sense problemes. No hi ha res trencat. Un nom nu com intranet no és un nom complet; el client hi afegeix un sufix de la seva llista de cerca i demana el resultat. Si el perfil de VPN no proporciona aquest sufix, la forma curta familiar deixa d’existir.
Aquest és tot el mite. El DNS no es va trencar, la política de cerca va canviar.
Un nom nu no és un nom
Quan escriviu una sola etiqueta, el resolutor ha de decidir què demanar. Prova el nom tal com és, després afegeix entrades de la llista de cerca una a una fins que alguna cosa respon. A Linux, resolv.conf controla aquest ordre amb els paràmetres search i ndots. A Windows, la llista de sufixos i la política de resolució de noms fan l’equivalent. Traieu el sufix i el resolutor no tindrà res a afegir.
Un nom curt que funciona és, doncs, prova d’una política, no prova d’un servidor DNS sa.
Què fan la llista de sufixos i l’adreça del resolutor
Aquestes dues coses es confonen constantment. L’adreça del resolutor diu a qui preguntar; la llista de sufixos diu sobre quin nom preguntar. Una VPN us pot donar un resolutor privat sense sufix, o un sufix amb el resolutor equivocat. Només una d’aquestes fallades sembla una caiguda del DNS.
Comproveu-los per separat, perquè arreglar l’equivocat consumeix una finestra de suport.
| What you see | Likely cause |
|---|---|
| Full name resolves, short name fails | Suffix or search list missing |
| Neither resolves | Resolver unreachable or wrong domain rule |
| Both resolve, resource fails | Route or service permission |
Tres símptomes, tres responsables diferents.
Proveu primer el nom complet
Demaneu el nom plenament qualificat documentat per l’administrador, no una suposició. Un FQDN que funciona demostra que el resolutor és abastable i que el registre existeix, cosa que elimina la meitat de les causes possibles amb una sola consulta. Feu servir una eina que mostri quin servidor ha respost, perquè no llegiu un resultat en memòria cau.
Mantingueu la prova privada. Enviar variants internes a un resolutor públic revela noms i prova una política que ningú no pretenia.
On va la correcció
Corregiu el perfil propietari o el sistema de gestió que el genera. Una edició manual de la configuració local del resolutor normalment desapareix en reconnectar-se, o s’aplica a totes les xarxes a què s’uneix la màquina, cosa que és pitjor.
A Windows, inspeccioneu la política efectiva en lloc de la casella que recordeu. Get-DnsClientNrptPolicy mostra les regles de resolució de noms que realment estan en vigor.
A macOS, scutil --dns imprimeix la configuració del resolutor per interfície d’abast, incloent-hi els dominis de cerca que la VPN ha empès.
A Linux, llegiu la línia search a /etc/resolv.conf, però comproveu si un client de VPN l’ha reescrita. Si el fitxer està gestionat, editeu la font de veritat en lloc del fitxer renderitzat. Una línia search antiga heretada d’una xarxa anterior és una causa habitual.
Què guardar amb el perfil
Guardeu el nom complet corregit, la llista de sufixos i l’adreça del resolutor al costat del perfil del client. La següent persona que informi que el lloc intranet no va podrà comparar tres valors coneguts en lloc de començar des d’una pàgina en blanc.
I si només falla la forma curta, digueu-ho al tiquet. Aquesta frase estalvia una tarda a l’equip de resolutors.