Mae OpenVPN wedi gwthio gweinydd DNS ond mae Linux yn ei anwybyddu

Mae’r gweinydd DNS a wthiwyd yn y log, mae’r twnnel i fyny, ac mae enwau mewnol yn dal i fethu. Nid oes dim wedi torri yn y gwthio ei hun; cyrhaeddodd y gosodiad a stopio yno. Neges i’r cleient yw opsiwn DNS a wthiwyd, nid cyfarwyddyd i ddatryswr y system weithredu, a’r trosglwyddiad rhyngddynt hwy yw lle mae’r rhan fwyaf o’r achosion hyn yn gorffen. Mae pum gwiriad, yn eu trefn, yn canfod y trosglwyddiad na ddigwyddodd.

Gwiriad un: sut mae’r cysylltiad yn dechrau

Perchennog y cysylltiad sy’n penderfynu pwy all gymhwyso gosodiadau’r datryswr. Nid yw gorchymyn openvpn uniongyrchol o gragen yn berchen ar ddim ond ei broses ei hun, tra bod gan uned systemd, NetworkManager neu gleient gwerthwr ei ffordd ei hun o gyhoeddi DNS. Darllenwch y rhestr brosesau a’r enw uned cyn tybio unrhyw un ohonynt.

Nid yw proses llinell orchymyn yn gysylltiad NetworkManager yn awtomatig, ac nid yw cysylltiad NetworkManager yn awtomatig y peth a ysgrifennodd resolv.conf. Y ddau dybiaeth honno sy’n cyfrif am y rhan fwyaf o’r oriau a wastreffir yn yr ymchwiliad hwn. Gofynnwch pa gydran fyddai’n cyhoeddi DNS ar gyfer y rhyngwyneb rydych chi’n ei weld mewn gwirionedd.

Nodwch y perchennog cyn parhau. Mae pob gwiriad diweddarach yn dibynnu arno.

Gwiriad dau: beth mae dolen y datryswr yn ei ddal mewn gwirionedd

Ar westeiwr systemd-resolved, mae resolvectl status yn rhestru pob dolen gyda’i gweinyddwyr DNS a’i pharthau. Dewch o hyd i ddolen y twnnel a darllenwch ei chofnodion, a pheidiwch â thybio mai tun0 yw enw’r rhyngwyneb, oherwydd mae’r rhifo yn dilyn trefn y creu. Os yw’r cyfeiriad a wthiwyd yn absennol o’r ddolen, methodd y trosglwyddiad yn hytrach na’r ymholiad.

Os yw’r cyfeiriad yn bresennol, y cwestiwn nesaf yw pa barthau mae’r ddolen honno’n eu hawlio. Nid yw dolen heb restr barth yn ateb ond enwau y gofynnir yn uniongyrchol amdanynt, ac anaml y mae hynny’n beth mae defnydd split-DNS yn ei eisiau. Mae’r cyfeiriad ei hun yn angenrheidiol ond nid yn ddigonol.

Cymharwch enw’r ddolen yn allbwn y datryswr ag enw’r rhyngwyneb yn log y VPN cyn dod i unrhyw gasgliad. Mae anghysondeb yno fel arfer yn golygu bod y llinell log wedi dod o broses arall.

Gwiriad tri: a yw’r gofod enwau yn dewis y ddolen honno

Gall datryswr ddal y gweinydd cywir ac eto heb gael ei ymgynghori. Y parth fesul dolen sy’n penderfynu pa ymholiadau sy’n mynd i ba ddolen, ac heb barth llwybro mae’r gofod enwau preifat yn disgyn yn ôl i’r hyn y mae’r ddolen ragosodedig yn ei ddweud. Dyna pam y gall resolvectl query lwyddo ar gyfer yr enw mewnol tra bod cymhwysiad yn dal i fethu. Mae’n bosibl bod y cymhwysiad yn defnyddio llwybr datryswr hollol wahanol.

Gwiriwch y neilltuo parth, nid cyfeiriad y gweinydd yn unig. Mae parth a ysgrifennir fel ~corp.example yn barth llwybro, ac mae’r tild yn newid sut mae’r enw’n cael ei gyfateb.

Os oes gan y cymhwysiad ei ddatryswr ei hun, profwch gyda’r un mecanwaith ag y mae’n ei ddefnyddio yn hytrach nag ag offeryn y system. Bydd offeryn ymholi sy’n osgoi datryswr y system yn llwyddo beth bynnag yw cyflwr y ddolen.

Gwiriad pedwar: un perchennog, nid dau

Os yw NetworkManager eisoes yn rheoli’r VPN a chyflwr y datryswr, mae ychwanegu sgript fachyn heb gysylltiad yn creu ysgrifennwyr sy’n cystadlu. Mae’r bachyn a ddarperir gan y pecyn ar gyfer systemd-resolved yn integreiddiad â chymorth, ac mae’n disgwyl cylch bywyd penodol: script-security 2, llwybr up, up-restart, llwybr down a down-pre. Mae’r opsiynau hynny’n gwneud i’r cofrestru a’r tynnu ddigwydd ar yr adegau cywir yn hytrach nag yn unig ar y cysylltiad cyntaf.

Defnyddiwch y llwybr sydd wedi’i osod o’r pecyn yn hytrach nag un darluniadol a gopïwyd o ganllaw. Mae caniatâd yn bwysig hefyd, oherwydd mae’r bachyn yn rhedeg ar ôl i freintiau ostwng.

Mae golygu sgript datryswr dosbarthiad i newid ei darged allbwn yn cofnodi gwaith osgoi un gwesteiwr. Nid yw’n atgyweiriad cyffredinol.

Gwiriad pump: yr un canlyniad ar ôl ailgysylltu

Ailgysylltwch ac ail-ddarllenwch y ddolen. Cofrestriad sy’n ymddangos unwaith ac yn diflannu ar y trosglwyddiad nesaf yw’r methiant y mae’r rhestr wirio gyfan hon yn bodoli i’w ddal. Profwch ar ôl atal dros dro, ar ôl ailgysylltu gorfodol, ac ar ôl ailgychwyn gwasanaeth y datryswr. Mae pob trosglwyddiad yn profi tybiaeth wahanol am y drefn.

Dim ond pan fydd y pum gwiriad i gyd yn pasio ar ailgysylltiad y gallwch ddweud bod y gosodiadau a wthiwyd yn cael eu defnyddio. Mae unrhyw beth cyn hynny yn snapshot o eiliad lwcus.