Els noms d’amfitrió VPN fallen, les adreces IP funcionen: on cal mirar

Podeu obrir el recurs compartit per adreça i el mateix recurs pel nom falla, cosa que vol dir que el túnel transporta paquets i la capa de noms no. Aquesta sola observació estalvia un desviament per canvis de tallafoc i de rutes. Els noms necessiten un sufix, un resolutor i un camí per a la consulta, i un client VPN pot instal·lar una ruta sense instal·lar-ne cap. Recorregueu les quatre comprovacions següents en ordre i atureu-vos a la primera que falli.

Un nom fa una pregunta que una adreça no fa

Una adreça és una destinació que la pila pot utilitzar immediatament. Un nom curt és una pregunta que cal ampliar amb un sufix, enviar a un resolutor i respondre per alguna cosa que conegui la zona. Un túnel que instal·la rutes però cap resolutor deixa el primer funcionant i el segon trencat. Per això el símptoma sembla tan consistent en productes VPN molt diferents.

Treballeu de l’adreça cap enfora: primer el nom complet, després el nom d’amfitrió nu, i anoteu quin dels tres funciona. El patró us diu quina capa cal inspeccionar abans d’obrir una sola pantalla de configuració. Endevinar rutes quan el FQDN es resol és esforç perdut.

Llegiu el resolutor que el túnel ha instal·lat realment

Pregunteu al sistema operatiu quin resolutor gestiona les consultes de la zona interna, no quin anuncia la interfície del client VPN. Un servidor que injecta un resolutor públic sense zona interna produeix exactament aquesta fallada, i és un error de configuració, no una fallada d’encaminament.

resolvectl status
nslookup fileserver.corp.example
nslookup fileserver

En un client Windows unit al domini, la política d’encaminament de l’espai de noms decideix quines consultes van a quin resolutor, i la configuració DNS pròpia de l’adaptador VPN apareix als detalls de l’adaptador. Llegiu la política efectiva i no el perfil, perquè una política en memòria cau pot sobreviure a la connexió que la va instal·lar. Si el resolutor respon al nom complet i no al nom curt, el problema ja s’ha mogut a la llista de sufixos.

Get-DnsClientNrptPolicy
ipconfig /all

Atureu-vos si la zona interna es resol a través del servidor correcte. El resolutor no és el vostre problema.

Els sufixos expliquen els noms curts que fallen

Un nom d’una sola etiqueta s’amplia amb la llista de sufixos de la connexió abans que s’enviï la consulta. Si la VPN no lliura el sufix intern, fileserver no es converteix mai en fileserver.corp.example, i la consulta surt com un nom que cap resolutor públic no coneix. Injectar el sufix, o escriure el nom complet, prova la hipòtesi sense canviar res al servidor.

nslookup fileserver.corp.example
ping -a 192.168.50.20

A Linux el servei de resolutor lliga un servidor DNS a un enllaç i a un conjunt de dominis d’encaminament, de manera que un servidor injectat que no està associat a l’enllaç del túnel es comporta com si no hi fos. Comproveu l’estat per enllaç i no el fitxer stub, que pot assenyalar només el resolutor local. La mateixa divisió apareix en l’altre sentit: un domini de cerca present però no aplicat a la interfície del túnel produeix fallades de nom curt que semblen aleatòries.

Si afegir el sufix ho arregla, la feina que queda és lliurar aquest sufix a través del perfil VPN en comptes de demanar a cada usuari que l’escrigui.

NetBIOS i WINS són un mecanisme diferent

L’SMB antic encara pot buscar un nom nu amb el servei de noms NetBIOS, que respon per difusió o a través d’un servidor WINS. La difusió es queda dins d’un domini de difusió i s’atura al primer encaminador, així que no pot travessar un túnel; WINS funciona perquè el client té una adreça unicast on registrar-se i on preguntar. Per això una VPN que només transporta IP encara pot donar suport a noms antics quan WINS està configurat i és abastable.

nbtstat -n
nbtstat -R

Per a l’SMB modern, confieu en el DNS i el nom complet, i jubileu la ruta antiga. Si és genuïnament antic, proporcioneu WINS o substituïu l’aplicació; el terme mitjà és una cua de suport que mai no es buida.

El recorregut acaba quan podeu dir quina capa ha fallat: resolutor, sufix o descobriment antic. Anoteu el resolutor que ha respost i la forma de nom que ha funcionat, perquè la propera persona començarà amb el mateix símptoma.