Mae OpenVPN yn gwthio DNS, ond efallai na fydd y datryswr byth yn ei weld

Mae cofnod y cleient yn dangos y gweinydd DNS a wthiwyd, mae’r twnnel wedi’i gysylltu, ac mae enw mewnol yn dal i ddatrys i ddim. Nid oes dim wedi torri yn y gwthiad ei hun. Cyrhaeddodd yr opsiwn ac ni ddefnyddiodd datryswr y system weithredu ef o gwbl, oherwydd ar y rhan fwyaf o gleientiaid Unix mae OpenVPN yn danfon y gwerth ac yn gadael y cymhwysiad i’r platfform.

Y symptom: mae’r cofnod yn dangos DNS ac mae enwau’n dal i fethu

OpenVPN dhcp-option yn cario gwybodaeth DNS a pharth, ac mae’r cleient yn cofnodi’r hyn a gafodd. Mewn rhai gweithrediadau mae’r cleient yn cymhwyso’r gosodiadau hynny’n fewnol; mewn eraill mae’n eu hallforio i sgript integreiddio neu i wasanaeth rhwydwaith eu defnyddio. Mae llinell y cofnod yn disgrifio hanner cyntaf y stori yn unig. Mae’r ail hanner yn digwydd yn rhywle nad yw’r cleient yn ei reoli. Yno y mae’r methiant fel arfer yn byw.

Dyna pam mae twnnel cysylltiedig ac enw mewnol sy’n methu yn cydfodoli mor aml. Mae’r gwerth yn bresennol, mae’r defnyddiwr ar goll neu wedi’i gamgyflunio, ac mae’r datryswr yn dawel yn parhau i ddefnyddio’r gweinydd cyhoeddus a ddefnyddiodd cyn y cysylltiad.

Derbyn nid yw cymhwyso

Gall cleient gofnodi gwerth DNS a wthiwyd tra bo datryswr y system yn parhau i fod yn eiddo i wasanaeth arall. Gall porwr hefyd fod â’i bolisi ei hun ar gyfer DNS amgryptio sy’n osgoi datryswr y system yn gyfan gwbl, sy’n creu’r sefyllfa gofiadwy lle mae un cymhwysiad yn datrys enwau mewnol ac un arall yn methu.

Gwiriwch integreiddiad a gefnogir gan y gweithrediad yn lle tybio bod pob cleient Unix yn ailysgrifennu’r un ffeil. Y rhagdybiaeth honno yw’r rheswm y mae pobl yn golygu cyfluniad datryswr nad yw dim yn ei ddarllen.

Dewch o hyd i berchennog y datryswr fesul platfform

Ar Windows, gall y tabl polisi datrys enwau gyfeirio ôl-ddodiaid penodol at weinyddion penodol, ac efallai y bydd y cleient VPN yn gosod rheolau yno. Gwiriwch y polisi yn hytrach na dim ond rhestr DNS yr addasydd. Ar Linux, gall NetworkManager neu systemd-resolved fod yn berchen ar y cyfluniad, a pha un sy’n berchen arno sy’n pennu’r hyn y bydd ailgysylltu yn ei gadw.

Darllenwch y cyflwr effeithiol gyda’r offeryn sy’n ateb ymholiadau mewn gwirionedd: resolvectl query internal.example.net ar westeiwr systemd-resolved, neu gyfwerth y platfform. Yna cymharwch yr ateb hwnnw â’r gweinydd DNS y mae cofnod y cleient yn honni iddo ei wthio.

Osgowch redeg sawl gwasanaeth sy’n trosysgrifo gosodiadau’r datryswr heb gydlynu. Mae dau berchennog yn cynhyrchu canlyniad sy’n edrych yn ysbeidiol, ac mae pob ailgysylltiad yn ymddangos fel pe bai’n ei drwsio neu’n ei dorri ar hap.

Sgriptiau a foreign_option

Mae OpenVPN yn allforio opsiynau a wthiwyd i sgriptiau trwy newidynnau o’r enw foreign_option_N, a gall sgript eu cyfieithu’n orchmynion datryswr. Mae’r drefn honno’n integreiddiad a gefnogir, nid ymddygiad awtomatig, ac mae’n rhaid ei osod a’i alw ar y cleient.

Os ydych yn dibynnu ar sgript, cofnodwch ei gweithrediad a’i statws gadael. Mae sgript sy’n rhedeg ond yn methu’n dawel yn gadael yr un symptom â dim sgript, ac mae’n anoddach ei sylwi oherwydd bod y cyfluniad yn edrych yn gyflawn. Gwiriwch allbwn y sgript, nid ffeil y sgript. Nid yw ffeil sy’n bodoli yn sgript a redodd.

Profwch yr enw, nid y cofnod

Ymholwch am enw gwesteiwr mewnol yn unig o’r cleient ar ôl cysylltu, yna ymholwch am enw cyhoeddus, yna gwiriwch pa weinydd a atebodd. Mewn setup sy’n gweithio daw’r ddau ateb o fannau gwahanol, ac mae’n rhaid i’r ddau gyd-fynd â’r dyluniad.

Os yw’r enw’n datrys ond y gwasanaeth yn methu, symudwch ymlaen i llwybro a mynediad i gymwysiadau yn lle newid DNS eto. Mae llawlyfr OpenVPN yn dogfennu dhcp-option a’r amgylchedd sgriptiau; defnyddiwch ef i gadarnhau’r hyn y disgwylir i’ch cleient ei gymhwyso cyn i chi olygu ffeil datryswr arall.