Mae enwau mewnol yn methu ar VPN tra bo safleoedd cyhoeddus yn datrys

Mae un defnyddiwr yn adrodd nad yw enw gwesteiwr y intranet yn datrys dros y VPN. Mae ail adroddiad, o'r un gliniadur, yn dweud bod prawf gollwng yn dal i ddangos ymholiadau a atebir gan y datryswr lleol. Maent yn swnio fel un broblem ac maent yn ddwy, gyda thystiolaeth wahanol, ac mae'r trwsio arferol ar gyfer y gyntaf yn gwaethygu'r ail. Gwahanwch hwy cyn cyffwrdd ag unrhyw osodiad.

Dau symptom nad ydynt yn un methiant

Methu datrys enw mewnol sy'n golygu bod y cwestiwn wedi mynd i rywle nad oes ateb iddo. Mae ymholiadau'n gadael y twnnel yn golygu bod y cwestiwn wedi mynd i'r lle anghywir hyd yn oed pan oedd yr ateb ar gael. Mae'r rhain yn fethiannau cyferbyniol: un yw ateb sy'n eisiau, y llall yw cyrchfan dros ben.

Y trap yw bod ychwanegu datryswr y swyddfa ym mhobman yn trwsio'r gyntaf ac yn gwarantu'r ail. Mae ychwanegu datryswr cyhoeddus ym mhobman yn gwneud y gwrthwyneb.

Nodwch y ddau sylw gyda stamp amser, yna ewch drwy'r pedwar gwiriad isod yn eu trefn.

Pa ddatryswr addasydd sy'n cael y cwestiwn

Ar Windows mae'r cleient DNS yn dewis gweinyddwyr yn ôl trefn rhwymo'r addasyddion, ac nid yw addasydd y twnnel yn gyntaf yn awtomatig. Agorwch osodiadau uwch yr addasydd a symudwch y cysylltiad mynediad o bell uwchben yr addasydd corfforol, yna ailgysylltwch fel bod y newid yn gweithio mewn sesiwn newydd.

Trefn rhwymo yw'r hanner cyntaf yn unig. Rhaid i'r cleient hefyd wybod pa enwau sy'n perthyn i'r addasydd hwnnw, ac mae hynny'n gwestiwn rhagddodiad, nid yn gwestiwn trefn.

Rhowch allbwn ipconfig /all y peiriant sy'n gweithio wrth ymyl allbwn y gliniadur, y ddau wedi'u cymryd gyda'r twnnel i fyny. Bydd y peiriant sy'n gweithio yn dangos rhagddodiad DNS sy'n benodol i'r cysylltiad ar ei addasydd swyddfa, ac efallai na fydd y gliniadur yn dangos dim ar y twnnel. Mae'r gwahaniaeth hwnnw'n esbonio dosbarth cyfan o adroddiadau o'r math mae'r gweinydd yno ac mae'r enw'n dal i fethu, oherwydd heb ragddodiad ni chaiff yr enw byr ei gwblhau byth i'r parth y mae datryswr y swyddfa yn ei wasanaethu.

Mae enw byr angen rhagddodiad cyn iddo angen llwybr

Mae teipio enw gwesteiwr heb gymhwyso yn gofyn i'r datryswr ddyfalu parth. Daw'r dyfaliad o'r rhestr rhagddodiadau sydd ynghlwm wrth y cysylltiad, ac os yw'r rhestr honno'n wag, mae'r ymholiad yn mynd allan fel un label na fydd unrhyw barth preifat yn ei gyfateb.

Copïwch ragddodiad y peiriant sy'n gweithio i briodweddau IPv4 addasydd y VPN ar y tab DNS, yna ailgysylltwch. Ar Linux y cyfateb yw'r parth chwilio ar y ddolen twnnel, y mae systemd-resolved yn ei ddatgelu fesul dolen yn hytrach nag yn fyd-eang.

Cadwch y ddau osodiad ar wahân yn eich nodiadau. Mae'r rhagddodiad yn newid beth a ofynnir; mae cyfeiriad y datryswr yn newid pwy a ofynnir. Mae trwsio'r naill tra bo'r llall yn anghywir yn cynhyrchu canlyniad sy'n edrych yn hap.

Gofynnwch i'r datryswr yn uniongyrchol, yna i'r enw

Ymholiad uniongyrchol i ddatryswr y swyddfa sy'n gwahanu problem enw oddi wrth broblem llwybr, oherwydd mae'n osgoi dewis datryswr y cleient yn llwyr.

nslookup intranet.corp.example 10.20.0.53
nslookup intranet
resolvectl status

Mae'r gorchymyn cyntaf yn gofyn i weinydd penodol am enw wedi'i gymhwyso'n llawn. Os yw'n ateb, mae'r datryswr a'r llwybr ato yn iawn a'r methiant yw'r dewis neu'r rhagddodiad. Os yw'n rhedeg allan o amser, mae'r cyfeiriad yn anghywir neu'n anghyrhaeddadwy a'r broblem yw llwybro, nid DNS. Mae'r ail orchymyn yn dangos beth sy'n digwydd gyda'r enw byr, a'r trydydd yn argraffu cyfluniad y datryswr fesul dolen ar westeiwr systemd.

Gwyliwch am atebion cardiau gwyllt y mae rhai rhwydweithiau'n eu dychwelyd ar gyfer enwau anhysbys. Nid yw ateb credadwy yn brawf mai'r gweinydd a fwriadwyd a atebodd, felly cymharwch y cyfeiriad a ddychwelwyd â'r un y mae'r gwasanaeth mewnol yn ei ddefnyddio mewn gwirionedd. Os yw'r cyfeiriad yn perthyn i dudalen barcio neu i brocsi, atebodd y datryswr ond nid oedd yr ateb byth yn eiddo i chi. Mae'r gwahaniaeth hwnnw'n arbed awr o hel twnnel a oedd yn gweithio drwy'r amser.

Ar Linux, mae cleient VPN sy'n ailysgrifennu /etc/resolv.conf yn disodli'r datryswyr lleol yn gyfan gwbl. Mae vpnc yn datgelu DNSUpdate no i atal hynny, a gall systemd-resolved lwybro dim ond y parthau a restrwyd i ddolen y twnnel. Mae'r ddau ddull yn cadw enwau cyhoeddus ar y datryswr lleol ac yn anfon enwau mewnol i'r swyddfa.

Mae gollyngiadau yn rheol, nid yn flwch gwirio

Mae datrys enwau yn gyfnewid UDP i borth 53, felly mae twnnel sy'n cario traffig gwe ond nid UDP yn gadael yr ymholiad ar y llwybr corfforol. Profwch hyn drwy ddal ar y cerdyn rhwydwaith corfforol tra bo enw cyhoeddus yn datrys. Mae ymholiad sy'n weladwy ar y rhyngwyneb hwnnw ar ffurf ddarllenadwy yn golygu nad yw'r twnnel yn ei gario.

sudo tcpdump -ni eth0 -c 20 'udp port 53'
resolvectl query example.com

Os yw'r ymholiad yn ymddangos ar y rhyngwyneb hwnnw ar ffurf ddarllenadwy, nid yw'r twnnel yn ei gario. Y trwsio yw rheol sy'n caniatáu porth 53 yn unig i'r datryswr a wthiwyd gan y VPN ac yn gollwng cyrchfannau eraill, ynghyd â chyfluniad cleient nad yw'n taflu'r opsiwn a wthiwyd yn dawel.

Mae'r rhan olaf honno'n bwysicach nag y mae'n edrych. Dechreuwch OpenVPN gyda route-nopull ac mae'r opsiwn DNS a wthiwyd yn diflannu gyda'r llwybrau, oni bai bod y hidlydd tynnu'n cael ei ehangu i'w gadw. Ac mae cleient sy'n anwybyddu dhcp-option DNS yn parhau i ddefnyddio'r hyn a oedd ganddo o'r blaen. Mae unrhyw newid ar ochr y gweinydd angen sesiwn newydd i ddod i rym, oherwydd mae'r rhestr datryswyr yn cael ei danfon pan ddaw'r twnnel i fyny ac mae sesiwn hen yn dal i ddangos yr hen gyflwr.

Nodwch pa fethiant a welsoch mewn gwirionedd cyn cau'r tocyn. Mae ateb mewnol sy'n eisiau ac ymholiad sy'n dianc o'r twnnel yn galw am drwsiadau gwahanol, a gall newid rhagddodiad sy'n trwsio'r gyntaf waethygu'r ail yn dawel. Bydd y sawl sy'n cymryd y tocyn nesaf yn ymddiried yn y label, felly gwnewch y label yn gywir.