openfortivpn yn dal i drosysgrifennu DNS? Dewch o hyd i'r gwir berchennog

Dilynwch y cysylltiad o'r eiliad y mae'n codi: mae'r cleient yn dilysu, mae pppd yn negodi, ac yna mae rhywbeth yn ysgrifennu gosodiadau DNS i mewn i'r system weithredu. Os mai'r cyfan a wyddoch yw bod y VPN wedi newid eich datryswr, nid ydych eto'n gwybod pa un o'r camau hynny a wnaeth hynny. Gall dau ohonynt, ac ar gleient sy'n defnyddio'r integreiddiad pppd dogfennedig maent yn rhedeg yn ddigon agos at ei gilydd i edrych fel un actor. Enwi'r ysgrifennwr yw'r cam cyntaf; dewis ei olynydd yw'r ail, ac mae hynny'n benderfyniad ar wahân â'i ddulliau methu ei hun.

Mae'r dilyniant isod yn dilyn y cleient tuag allan: beth a newidiodd y cysylltiad, pa switsh sy'n tewi pa ysgrifennwr, pwy ddylai gymryd drosodd, a sut i gadarnhau bod y canlyniad yn goroesi ailgysylltiad. Mae pob cam yn gadael ôl gwahanol, a'r ôl yw'r hyn sy'n dweud wrthych a ddigwyddodd y trosglwyddiad mewn gwirionedd.

Dechreuwch gyda'r hyn a newidiodd y cysylltiad mewn gwirionedd

Cysylltwch unwaith gyda'ch arfer arferol a chymharu'r datrysiad cyn ac ar ôl. Ar westeiwr Linux sy'n rhedeg systemd-resolved, mae resolvectl status yn argraffu gweinyddwyr DNS a pharthau chwilio fesul cyswllt, ac mae cyswllt tun neu ppp newydd sy'n cario ei weinyddwyr ei hun yn ôl-brint diweddariad o du'r cleient. Ar macOS, mae scutil --dns yn dangos ffurfweddiad y datryswr yn y drefn y mae cymwysiadau'n ymgynghori ag ef.

Cymharwch hynny â'r ffeil y gwnaethoch ddisgwyl iddi newid. Mae cofnod sy'n gysylltiedig â'r cysylltiad yn yr olwg fesul cyswllt a /etc/resolv.conf wedi'i ailsgrifennu yn ddau ganlyniad gwahanol, a gall yr ail fod yn gysylltiad symbolaidd y mae rhywbeth arall yn ei reoli'n gyfan gwbl. Cofnodwch gyfeiriad y datryswr, y parthau chwilio ac enw'r rhyngwyneb ar yr un eiliad; mae newid yn unrhyw un ohonynt yn pwyntio at ysgrifennwr gwahanol. Heb y llinell sylfaen honno, mae pob cywiriad diweddarach yn ddyfaliad ynghylch pa un o dri chydran a symudodd.

Y ddau switsh a'r ysgrifennwr y mae pob un yn ei dewi

Mae openfortivpn yn dogfennu darn opsiwn sy'n diffodd y ddau ysgrifennwr y gall eu rheoli, ac mae gan bob switsh gyfwerth wedi'i ysgrifennu'n llawn y mae'r llawlyfr yn ei drin fel yr un gosodiad.

openfortivpn gw.example.com:443 --no-dns --pppd-no-peerdns
# written out in long form
openfortivpn gw.example.com:443 --set-dns=0 --pppd-use-peerdns=0

--no-dns sy'n atal y cleient rhag cymhwyso'r gweinyddwyr DNS a ddysgodd gan y porth, tra bod --pppd-no-peerdns yn atal pppd rhag gwthio DNS y cymar i mewn i'r system. Llawlyfr yr upstream sy'n rhybuddio y gall diweddariadau DNS dros PPP rasio â diweddariadau DNS y cleient ei hun, a dyna pam mae'r ddau switsh yn perthyn yn y darn yn hytrach na thrin y naill neu'r llall fel digon.

Nid oes yr un switsh yn enwi datryswr olynol, ac nid oes yr un yn atal rheolwr rhwydwaith, cleient DHCP nac integreiddiad VPN ar wahân rhag ysgrifennu datrysiad wedi hynny. Mae tewi dau ysgrifennwr yn gadael y maes yn agored yn hytrach nag yn berchen. Os yw trydydd cydran eisoes yn rheoli DNS, nid yw'r darn yn newid unrhyw beth y gallwch ei arsylwi; os nad oes unrhyw beth yn ei reoli, rydych newydd ddileu'r unig ffynhonnell datrysiad enwau preifat. Mae hwnnw'n drefniant dilys dim ond pan ddewiswyd y perchennog olynol gyntaf a'i brofi ar ei ben ei hun.

Dewiswch y perchennog cyn i chi analluogi unrhyw beth

Penderfynwch gyntaf pwy sy'n ateb ymholiadau am enwau gwaith, oherwydd mae'r dewis hwnnw'n cyfyngu ar bopeth ar ei ôl. Mae cadw'r datryswr presennol yn golygu bod yn rhaid i'r parth preifat fod yn gyrraeddadwy eisoes o ble bynnag y mae'r cleient yn eistedd, ac mae angen llwybr ar ddatryswr preifat y tu mewn i'r swyddfa sy'n goroesi'r twnnel yn codi. Mae anfon pob ymholiad at un gwasanaeth mewnol yn drydedd bolisi â dull methu mwy miniog: pan nad yw'r gwasanaeth hwnnw'n gyrraeddadwy, mae enwau cyhoeddus yn methu ynghyd â'r rhai preifat.

Mae perchnogaeth llwybr yn aros ar wahân yn fwriadol. Nid oes angen yr opsiynau llwybr oherwydd eich bod wedi newid DNS, a gall diffodd gosod llwybr heb osod olynydd wneud y datryswr a ddewiswyd gennych newydd yn anghyraeddadwy. Edrychwch ar y tabl llwybro yn benodol am gyfeiriad y datryswr, nid yn unig am is-rwydwaith y cymhwysiad y digwyddodd i chi ei brofi.

Gwiriwch y datrysiad fesul cyswllt, nid fesul ffeil

Nid yw un /etc/resolv.conf yn rhestr o'r hyn y mae cymwysiadau'n ei ddefnyddio mewn gwirionedd ar westeiwr â datrysiad cwmpasedig neu fesul parth, felly darllenwch gyflwr y datryswr fel y mae'r platfform yn ei amlygu.

resolvectl status
resolvectl query vpn.internal.example.com
resolvectl query example.com
ip route get 10.20.0.53

Gofynnwch am un enw preifat ac un enw cyhoeddus unwaith y bydd y cysylltiad i fyny, a nodwch pa gyswllt a atebodd bob un. Lle mae cyswllt y VPN yn cario rhestr chwilio fesul parth, gall enw preifat ddatrys yn gywir tra bod enw cyhoeddus yn dal i fynd i'r datryswr lleol, ac mae'r rhaniad hwnnw'n waith dylunio yn hytrach na nam. Os bydd yr ymholiad preifat yn methu, archwiliwch y llwybr i'r datryswr cyn cyffwrdd â DNS eto; os bydd yn llwyddo tra bod cymhwysiad yn dal i fethu, efallai bod y cymhwysiad yn darllen datryswr wedi'i storio neu wedi'i ffurfweddu ar wahân iddo'i hun.

Ailgysylltwch a chadarnhau'r cyflwr datgysylltiedig

Tynnwch y cysylltiad i lawr ac ailadroddwch y ddau ymholiad. Dylai beth bynnag a osododd y perchennog a ddewiswyd gael ei dynnu neu ei adfer gan y perchennog hwnnw, nid ei adael ar ôl gan y cleient y gwnaethoch ei dewi. Mae cofnod fesul cyswllt hen ffasiwn sy'n goroesi'r twnnel yn dal i anfon ymholiadau preifat i gyfeiriad nad yw bellach yn gyrraeddadwy.

Yna ailgysylltwch a darllenwch yr un tri gwerth eto: cyfeiriad y datryswr, parthau chwilio, rhyngwyneb.

Os ydynt yn cyd-fynd â'r polisi a ysgrifennwyd gennych, mae'r trosglwyddiad yn gyflawn ac nid yw cleient y VPN bellach yn un o'r ysgrifenwyr. Os yw gwerth yn llithro'n ôl ychydig eiliadau ar ôl i'r cyswllt godi, mae rhywbeth arall yn dal i gymhwyso ffurfweddiad, a'r cam nesaf yw nodi'r gydran honno yn hytrach nag ychwanegu baner arall. Y cyflwr terfynol yr ydych ei eisiau yw un digynnwrf: un perchennog, un polisi dogfennedig, a gwesteiwr datgysylltiedig sy'n datrys yn union fel y gwnaeth cyn bod y twnnel yn bod.