Krátká interní jména na VPN nefungují: přípona, kterou nikdy nevidíte
Krátké jméno funguje jen proto, že ho doplňuje vyhledávací přípona. Porovnejte plné a krátké jméno, abyste odlišili chybějící příponu od selhání resolveru.
Krátké jméno fungovalo v kanceláři a na VPN selhává, zatímco plné jméno se přeloží bez problémů. Nic není rozbité. Holé jméno jako intranet není úplné jméno; klient připojí příponu ze svého seznamu hledání a zeptá se na výsledek. Pokud profil VPN tuto příponu neposkytuje, známá krátká forma přestane existovat.
To je celý mýtus. DNS se nerozbil, změnila se politika hledání.
Holé jméno není jméno
Když zadáte jediný popisek, musí se resolver rozhodnout, na co se ptát. Zkusí jméno tak, jak je zadáno, a pak postupně přidává položky ze seznamu hledání, dokud něco neodpoví. V Linuxu tento pořádek řídí resolv.conf pomocí nastavení search a ndots. Ve Windows totéž dělají seznam přípon a politika překladu jmen. Odeberte příponu a resolver nebude mít co přidat.
Fungující krátké jméno je tedy dokladem politiky, nikoli dokladem zdravého DNS serveru.
Co dělají seznam přípon a adresa resolveru
Tyto dvě věci se neustále zaměňují. Adresa resolveru říká, koho se ptát; seznam přípon říká, na jaké jméno se ptát. VPN vám může dát privátní resolver bez přípony, nebo příponu se špatným resolverem. Jen jedno z těchto selhání vypadá jako výpadek DNS.
Kontrolujte je odděleně, protože oprava špatného spálí podpůrné okno.
| What you see | Likely cause |
|---|---|
| Full name resolves, short name fails | Suffix or search list missing |
| Neither resolves | Resolver unreachable or wrong domain rule |
| Both resolve, resource fails | Route or service permission |
Tři příznaky, tři různí vlastníci.
Nejprve otestujte plné jméno
Ptejte se na administrátorem zdokumentované plně kvalifikované jméno, ne na odhad. Fungující FQDN dokazuje, že resolver je dostupný a záznam existuje, což jedním dotazem odstraní polovinu možných příčin. Použijte nástroj, který ukáže, který server odpověděl, abyste nečetli uložený výsledek.
Test držte v soukromí. Posílání interních variant veřejnému resolveru prozrazuje jména a testuje politiku, kterou nikdo nezamýšlel.
Kam patří oprava
Opravte vlastnící profil nebo systém správy, který jej generuje. Ruční úprava místní konfigurace resolveru obvykle zmizí při opětovném připojení, nebo se použije na každou síť, ke které se stroj připojí, což je horší.
Ve Windows zkontrolujte efektivní politiku, ne zaškrtávací políčko, které si pamatujete. Get-DnsClientNrptPolicy ukazuje pravidla překladu jmen, která skutečně platí.
V macOS scutil --dns vypíše konfiguraci resolveru pro každé vymezené rozhraní, včetně domén hledání, které VPN zatlačila.
V Linuxu si přečtěte řádek search v /etc/resolv.conf, ale zkontrolujte, zda ho klient VPN nepřepsal. Pokud je soubor spravovaný, upravte zdroj pravdy, ne vykreslený soubor. Zastaralý řádek search zbylý z předchozí sítě je častou příčinou.
Co si uchovat u profilu
Uložte opravené plné jméno, seznam přípon a adresu resolveru vedle profilu klienta. Další člověk, který nahlásí, že stránka intranet nefunguje, může porovnat tři známé hodnoty místo začínání na prázdné stránce.
A pokud selhává jen krátká forma, napište to do tiketu. Ta věta ušetří týmu resolveru celé odpoledne.