DNS preifat Pritunl yn methu? Ychwanegwch lwybr datryswr cul

Mae enwau preifat yn datrys i bawb ar y rhwydwaith corfforaethol ac yn dod i ben i bawb ar y VPN. Mae’r datryswr yn ateb y giât, mae’r llwybr iddo yn bodoli, ac eto nid yw’r ymholiad byth yn cael ateb. Yr hyn sydd ar goll nid yw datryswr cyhoeddus arall na llwybr ehangach: adres ffynhonnell y mae’r gweinydd DNS preifat yn fodlon ateb arni.

Cadarnhewch fod y datryswr yn gwrthod eich pwll cleientiaid

Dechreuwch drwy brofi bod y methiant yn ymwneud â’r ffynhonnell, nid â chyrhaeddiad. O gleient cysylltiedig, ymholwch y datryswr preifat yn uniongyrchol a gwyliwch a yw’r cais yn dod i ben neu’n dod yn ôl fel gwrthodiad. Mae dig @10.40.0.53 intranet.example.net +time=2 +tries=1 yn dod i ben tra bo’r un ymholiad o’r giât yn llwyddo yn awgrymu polisi mynediad ar y datryswr. Mae ateb SERVFAIL yn awgrymu rhywle hollol wahanol, fel arfer y parth neu’r anfonnwr uwch.

Nodwch adres y cleient cyn profi. Mae ip -4 addr show tun0 ar y cleient, neu’r les a ddangosir yn y consol, yn dweud wrthych ba bwll y mae’r datryswr yn ei weld.

Yna cadarnhewch fod y llwybr yn bodoli o gwbl. Mae llwybr sy’n anfon adres y datryswr i’r twnnel yn ragofyn, nid y gwelliant; os nad yw pecynnau byth yn cyrraedd, ni ymgynghorir â’r polisi ffynhonnell. Gwiriwch ef gyda ip route get 10.40.0.53 ar y cleient.

Ychwanegwch un llwybr gwesteiwr yn lle cyfieithu popeth

Mae canllaw DNS preifat Pritunl yn disgrifio’r feddyginiaeth gul: llwybr /32 â NAT wedi’i alluogi ar gyfer adres y datryswr, gyda’r adres honno’n cael ei dewis fel gweinydd DNS y cleientiaid. Mae’r llwybr yn newid y ffynhonnell y mae’r datryswr yn ei gweld ar gyfer traffig DNS yn unig. Mae traffig cymwysiadau yn cadw’r dyluniad sy’n cadw’r ffynhonnell a ddewisoch ar ei gyfer.

Ffurfweddwch ef drwy berchennog llwybrau cefnogol y gweinydd, ar ôl adolygu’r llwybrau presennol am orgyffwrdd. Yn yr enghraifft uchod y cyrchfan yw 10.40.0.53/32 â NAT wedi’i alluogi, ac mae’r pwll cleientiaid yn parhau’n 10.90.0.0/24. Peidiwch â chyfieithu’r amrediad preifat cyfan i drwsio un gwasanaeth, oherwydd bydd pob polisi i lawr y llif sy’n dibynnu ar wir adres y cleient yn dechrau gweld y giât yn lle hynny. Cadarnhewch yr adres y mae’r datryswr yn ei chael mewn gwirionedd drwy wylio ei gofnod ymholiadau yn ystod chwiliad prawf. Nid yw llwybr gwesteiwr ar ei ben ei hun yn profi dim am gyfieithu na chaniatâd.

Rhaid i’r datryswr o hyd ganiatáu’r ffynhonnell a gyfieithwyd ar UDP a TCP, a rhaid i’w atebion allu dychwelyd. Ni all newid y ffynhonnell greu parth neu gofnod sydd ar goll.

Penderfynwch ai’r gweinydd neu’r cleient sy’n anfon yr ymholiad

Mae Pritunl hefyd yn dogfennu trefniant DNS-proxy sy’n gysylltiedig â VPN Client DNS Mapping, lle mae’r gweinydd yn anfon ymholiadau uwch ymlaen dros gleientiaid. Yn y model hwnnw mae’r ffynhonnell uwch yn perthyn i gyd-destun rhwydwaith y gweinydd ei hun, ac mae eithriad ar ochr y cleient yn ateb anghywir.

Nodwch pa fodel sy’n weithredol cyn ychwanegu unrhyw beth. Mae tri thrwsiad sy’n gorgyffwrdd, proxy, disodli’r datryswr ar y cleient, a sgript NAT â llaw fel arfer yn golygu nad oes neb wedi sefydlu: pa gydran sy’n fod i anfon yr ymholiad. Gwiriwch bootstrap hefyd: ni all datryswr preifat yn unig fod yr unig ffordd i ddod o hyd i’r pen draw cyn i’r twnnel fodoli, ac ni ddylai golygu parhaol i’r datryswr oroesi’r cysylltiad.

Profwch chwiliad preifat, nid tudalen we gyhoeddus

Ar ôl cymhwyso’r newid ac ailgysylltu, archwiliwch ffurfweddiad datryswr effeithiol y cleient, yna datryswch enw y gwyddoch sy’n bodoli yn y parth preifat yn unig. Mae dig intranet.example.net heb weinydd penodol yn dangos beth mae’r cleient yn ei ddefnyddio mewn gwirionedd. Dilynwch hi gyda chais i’r adres a ddychwelwyd gan y chwiliad hwnnw, oherwydd mae datrys a mynediad i wasanaeth yn gamau ar wahân. Nid yw porwr sy’n llwytho safleoedd cyhoeddus drwy DNS-over-HTTPS yn profi dim am lwybr datryswr preifat y system weithredu. Nid yw datryswr eilaidd cyhoeddus yn awdurdod ar gyfer parth mewnol chwaith.

Cofnodwch adres y datryswr, y llwybr /32, a gosodiad DNS y cleient gyda’i gilydd yn nodiadau’r gweinydd. Mae hanner y ffurfweddiad hwnnw wedi’i adfer ar ei ben ei hun yn atgynhyrchu’r methiant gwreiddiol.

Yn olaf, cadarnhewch fod y twnnel yn llwybro cyrchfan y cymhwysiad o hyd ar ôl i DNS lwyddo. Mae llwybr, mynediad i wasanaeth, a dilysu yn parhau’n annibynnol ar ddatrys enwau, ac nid yw chwiliad sy’n gweithio yn dweud dim am drwoddle. Os yw’r dudalen breifat yn araf ond yn datrys, mae’r datryswr wedi gwneud ei waith ac mae’r broblem wedi symud i’r llwybr.