DNS hollt dros OpenVPN: beth ddylai parth llwybro ei wneud ar bob system weithredu

Mae pob cais DNS hollt yn dechrau gyda'r un frawddeg: mae enwau'r cwmni yn mynd i DNS y cwmni, ac mae popeth arall yn parhau i weithio. Troi'r frawddeg honno'n ffurfweddiad yn golygu ateb tair cwestiwn fesul system weithredu, ac mae'r atebion yn defnyddio mecanweithiau gwahanol ar bob un. Mae proffiliau sy'n gweithio ar liniadur Linux yn aml yn methu ar Windows am resymau heb unrhyw gysylltiad â'r twneli. Y bwlch yw fel arfer gosodiad datryswr yn cael ei gamgymryd am lwybr.

Enwch y polisi'n gyntaf, yna dewiswch y cyntefig platfform sy'n ei fynegi.

Tri gosodiad sy'n hawdd eu cymysgu

Mae ôl-ddodiad chwilio yn ehangu enw byr: mae teipio files yn troi'n files.corp.example pan fydd y datryswr yn ceisio ôl-ddodiadau yn eu tro. Mae parth llwybro yn dewis pa ddatryswr sy'n ateb ymholiadau o fewn gofod enwau. Mae llwybr IP yn gwneud y datryswr a ddewiswyd yn gyrraeddadwy yn unig. Mae'r tri hyn yn byw mewn haenau gwahanol, ac mae cyfnewid y naill am y llall yn cynhyrchu ffurfweddiad sy'n edrych yn gywir ac nad yw'n datrys dim.

Mae cost i'r dryswch: mae ychwanegu ôl-ddodiad chwilio yn anfon pob enw byr i ddatryswr y gwaith, gan gynnwys enwau sy'n perthyn i rywle arall. Mae dewis parth llwybro yn cadw ymholiadau digyswllt ar y datryswr lleol tra'n dal i anfon *.corp.example trwy'r twneli.

Linux: parth llwybro'n unig, nid ôl-ddodiad chwilio

Ar systemd-resolved, mae parth â thilda o'i flaen yn barth llwybro'n unig, sy'n golygu bod ymholiadau ar gyfer y gofod enwau hwnnw'n mynd i'r datryswr cysylltiedig heb hefyd ddod yn ôl-ddodiad chwilio. Mae resolvectl domain tun0 '~corp.example' yn gosod hynny, ac mae resolvectl dns tun0 10.8.0.1 yn enwi'r gweinydd. Mae'r ddau osodiad yn perthyn i'r rhyngwyneb, felly maent yn diflannu gydag ef. Y tilda yw'r rhan mae pobl yn ei hepgor, a hebddi mae enwau byr yn dechrau cael eu datrys trwy ddatryswr y gwaith.

Peidiwch â gosod yr un parth hefyd fel ôl-ddodiad chwilio byd-eang. Nid yw'r ddau osodiad yn ddiangen; mae un yn llwybro a'r llall yn ailysgrifennu'r hyn y gwnaethoch ei deipio.

Mae Windows angen polisi gofod enwau, nid ôl-ddodiad

Mae Windows yn cadw polisi DNS hollt yn y Name Resolution Policy Table, nid yn ôl-ddodiad DNS yr addasydd. Mae rheol yn cysylltu gofod enwau â gweinyddion penodol: Add-DnsClientNrptRule -Namespace .corp.example -NameServers 10.8.0.1. Mae gosod yr ôl-ddodiad yn unig yn newid sut mae enwau byr yn edrych; nid yw'n cyfeirio'r ymholiad at weinydd arall.

Gwiriwch y polisi effeithiol gyda Get-DnsClientNrptPolicy ar ôl cysylltu, oherwydd gall rheol o gysylltiad cynharach oroesi'r twneli. Tynnwch reolau yn ôl eu henw pan fydd y twneli'n cwympo, a chadwch enw arddangos yn sefydlog fel bod y glanhau'n cyrraedd y cofnod cywir.

Cadwch un perchennog datryswr fesul platfform

Gall rheolwr bwrdd gwaith, sgript up OpenVPN a daemon datryswr lleol i gyd geisio ysgrifennu'r un ffurfweddiad. Pan fyddant yn anghytuno, y sawl a ysgrifennodd olaf sy'n ennill ac mae'r canlyniad yn dibynnu ar drefn datgysylltu. Dewiswch un gydran i berchen ar gyflwr y datryswr, gadewch i'r lleill adrodd yn hytrach nag ysgrifennu, a phrofwch ailgysylltu: dylai'r polisi oroesi hynny heb ddyblygu rheolau. Profwch ddatgysylltu hefyd, oherwydd cyflwr dros ben yw'r hyn sy'n gwneud i'r cysylltiad nesaf ymddwyn yn wahanol.

Mae rhaglenni sy'n dod â'u datryswr amgryptiedig eu hunain yn anwybyddu polisi'r system weithredu yn gyfan gwbl. Nodwedd o'r rhaglen yw hynny, nid diffyg yn y twneli.

Gwiriwch y canlyniad, nid testun y proffil

Datryswch un enw y dylai fynd trwy'r twneli ac un na ddylai, ar bob platfform, a chadarnhewch pa weinydd a atebodd. Mae resolvectl query host.corp.example a Resolve-DnsName host.corp.example ill dau yn adrodd pa weinydd a ymatebodd. Ailadroddwch ar ôl ailgysylltu. Yna cadarnhewch fod datryswr y twneli yn gyrraeddadwy yn y cyfeiriad y mae'r proffil yn ei wthio, oherwydd mae polisi cywir sy'n pwyntio at weinydd anghyrraeddadwy yn methu yn yr un modd â dim polisi o gwbl.

Cofnodwch yr ymddygiad arfaethedig yn nodiadau'r proffil: pa ôl-ddodiad sy'n llwybro, pa weinydd sy'n ei ateb, a beth sy'n digwydd i bopeth arall. Bydd angen y frawddeg honno ar y platfform nesaf rydych yn ei gefnogi yn fwy na'r ffeil ffurfweddiad.