Mae enw gwesteiwr LAN yn methu dros VPN: ôl-ddodiad, mDNS neu barth?

Wrth ymyl y ddyfais, mae'r argraffydd yn ateb i enw byr ac mae'r gweinydd ffeiliau yn ateb i lysenw. Trwy'r twnnel, mae'r ddau enw yn dod i ben tra bod eu cyfeiriadau yn dal i weithio. Mae'r llwybr yn gwneud ei waith; ni chroesodd y llwybr enwi a oedd yn gwneud yr enwau byr hynny'n gweithio y twnnel erioed. Mae tri mecanwaith yn cynhyrchu'r ymddygiad hwnnw, ac mae angen cywiriad gwahanol ar bob un.

Dechreuwch drwy nodi ar ba fecanwaith y mae'r enw yn dibynnu.

Tri math o enw sy'n ymddwyn yn wahanol

Mae enw unlabel fel fileserver fel arfer yn dibynnu ar ôl-ddodiad chwilio DNS a ychwanegir gan y datryswr. Mae'r ôl-ddodiad hwnnw'n aml yn dod gyda'r les DHCP lleol, felly nid oes gan gleient o bell sy'n cael cyfeiriad o'r VPN unrhyw reswm i'w wybod. Nid yw ychwanegu llwybr yn danfon yr ôl-ddodiad. Mae'r enw byr yn syml yn peidio â bodoli fel enw, er bod y cyfeiriad y tu ôl iddo yn gyrraeddadwy.

Mae enw sy'n gorffen mewn .local fel arfer yn cael ei ddatrys gan DNS multicast ar y cyswllt lleol, fel y mae RFC 6762 yn disgrifio. Nid yw multicast yn croesi twnnel a lwybrwyd oni bai bod rhywbeth yn ei bontio neu'n ei ddirprwyo'n fwriadol, felly mae'r enw'n peidio â datrys y foment y byddwch yn gadael y segment.

Mae enw cwmni cwbl gymwys yn perthyn i barth mewnol a wasanaethir gan ddatryswyr y sefydliad. Mae hwnnw'n gweithio o bell pan fydd y VPN yn gwthio'r datryswyr hynny a'r cleient wedi'i ffurfweddu i'w defnyddio. Ac mae localhost yn bwrpas arbennig yn ôl RFC 6761: mae'n cyfeirio at y peiriant o'ch blaen, byth at wasanaeth o bell.

Darllenwch y datryswr cyn newid y llwybr

Gofynnwch pa weinydd enw a atebodd a pha ôl-ddodiad a ychwanegwyd. Mae'r un ymholiad drwy wahanol ddatryswyr yn rhoi atebion gwahanol, a'r gwahaniaeth hwnnw yw'r dystiolaeth sydd ei hangen arnoch.

getent hosts fileserver
getent hosts fileserver.corp.example.com
nslookup fileserver.corp.example.com
dig +search fileserver A
resolvectl query fileserver.corp.example.com
scutil --dns | head -30

Os yw'r ymholiad cwbl gymwys yn datrys ond nid yr un byr, mae'r methiant yn yr ôl-ddodiad, nid yn y gweinydd. Os nad yw'r naill na'r llall yn datrys ac mae'r cyfeiriad yn gweithio, nid yw'r cleient yn defnyddio'r datryswr mewnol o gwbl. Cymharwch y rhestr ddatryswyr â'r hyn y dylai'r VPN ei wthio, oherwydd ni fydd cleient sy'n cadw ei ddatryswr lleol ar gyfer pob ymholiad byth yn gweld y barth mewnol.

Dewch â'r enw cywir at y cleient

Gofynnwch i'r gweinyddwr am yr enw mynediad o bell dogfennedig, yn llawn, a defnyddiwch ef yn y proffil yn lle dyfalu ôl-ddodiaid. Os yw'r defnydd yn cefnogi split DNS, ffurfweddwch y parth mewnol i gael ei ddatrys gan y gweinyddion mewnol tra bod popeth arall yn cadw'r datryswr lleol. Gwthiwch y parth chwilio drwy ffurfweddiad y VPN lle mae'r cleient yn ei gefnogi.

Gwiriwch y canlyniad ar y cleient yn hytrach nag ar y porth. Nid yw gosodiad a gymhwysir ar y gweinydd nad yw byth yn cyrraedd y cleient yn newid unrhyw beth.

Cadwch hunaniaeth y dystysgrif yn gyfan

Nid yw prawf yn seiliedig ar gyfeiriad sy'n anwybyddu gwall y dystysgrif yn profi dim ond bod y soced wedi agor. Mae tystysgrif y gwasanaeth yn cael ei dyroddi ar gyfer enw, a bydd y cleient yn parhau i wrthod yr anghysondeb am reswm da. Os yw'r dystysgrif yn rhestru'r enw mewnol yn unig, defnyddiwch yr enw hwnnw a thrwsiwch y datrysiad, neu sicrhewch dystysgrif sy'n cwmpasu'r cyfeiriad rydych yn bwriadu ei ddefnyddio.

Cofnodwch yr enw, y datryswr a'r ôl-ddodiad a gynhyrchodd gysylltiad llwyddiannus. Mae'r cofnod hwnnw'n arbed y person nesaf rhag ailadrodd y gwaith o amgylch y cyfeiriad sy'n cuddio'r gwir broblem.