Mae’r twnnel hollt yn eithrio’r porwr, nid ei ymholiadau DNS

Wedi eithrio’r porwr o’r twnnel, mae tudalen IP gyhoeddus yn cadarnhau bod ei draffig yn gadael drwy’r cysylltiad cartref, ac eto nid yw’r wici fewnol yn agor. Aeth datrys enwau rywle arall, a’r rhywle arall hwnnw yw’r datryswr a osododd y VPN fel arfer. Mae llwybr data a llwybr datryswr yn benderfyniadau ar wahân yn y rhan fwyaf o gynlluniau twnnel hollt. Gwiriwch pa un a ddefnyddiodd y porwr mewn gwirionedd cyn galw’r eithriad yn un wedi torri.

Mae llwybr data a llwybr datryswr yn hollti

Mae eithriad yn tynnu pecynnau rhaglen o’r twnnel, sy’n benderfyniad llwybro a mur gwarchod ar lwybr y data. Mae datrys enwau yn chwiliad gwahanol: mae proses yn gofyn i ddatryswr y system, ac mae’r datryswr hwnnw yn penderfynu pa weinydd sy’n cael y cwestiwn.

Gall y ddau fod yn fwriadol ac yn wahanol. Gall defnydd gwaith gadw gofodau enw mewnol ar y datryswr corfforaethol tra’n anfon pori cyhoeddus dethol y tu allan i’r twnnel, yn union oherwydd nad yw enwau mewnol yn cael eu datrys yn unman arall. Yr achos dryslyd yw’r gwrthwyneb: safle cyhoeddus yn methu oherwydd na ofynnodd y porwr erioed i’r datryswr yr oedd y defnydd yn ei ddisgwyl. Cofnodwch y llwybr a’r datryswr ar wahân, a bydd hanner y dadleuon yn diflannu.

Darganfyddwch pa broses sy’n gofyn y cwestiwn

Gall porwr ddefnyddio datryswr y system, ei wasanaeth DNS amgryptiedig ei hun, neu ddatryswr y mae’r system weithredu yn ei bennu ar gyfer pob rhwydwaith. Mae’r cyntaf yn dilyn polisi’r platfform, mae’r ail yn osgoi’r polisi hwnnw’n llwyr, ac mae’r trydydd yn dibynnu ar ba gyswllt y caiff yr ymholiad ei lwybro iddo.

resolvectl status
resolvectl query intranet.example.net
dig +short +time=2 intranet.example.net @10.52.0.2
scutil --dns | head -n 40

Darllenwch y ffurfweddiad effeithiol cyn profi: pa gysylltau sy’n cario gweinyddwyr DNS, pa ofodau enw y maent yn eu hawlio, ac a yw polisi fesul enw yn disodli’r rhagosodiad. Ar Linux mae DNS hollt yn defnyddio parthau llwybro; ar Windows mae’r tabl polisi datrys enwau yn gwneud yr un gwaith ar gyfer gofodau enw. Nid oes na’r naill na’r llall i’w gweld o dudalen prawf gollyngiad.

Penderfynwch pa ddatryswr sy’n gweld pa enw

Ysgrifennwch y mapio bwriadedig cyn newid unrhyw beth: enwau mewnol i’r datryswr corfforaethol, enwau cyhoeddus i ba bynnag wasanaeth y mae’r polisi yn ei ganiatáu, ac eithriadau gyda pherchennog. Heb y rhestr honno, mae pob label prawf gollyngiad yn dod yn ddadl bolisi na all neb ei setlo.

Yna gwiriwch osodiad y porwr ei hun, oherwydd mae DNS amgryptiedig mewn porwr yn cael ei gymhwyso cyn i’r system weithredu dderbyn yr ymholiad. Mae defnyddiwr a’i galluogodd i fynd o amgylch porthol caeth wedi disodli’n dawel y datryswr a ddewisodd y defnydd. Penderfyniad ffurfweddiad yw hwn yn hytrach na gollyngiad, ac mae’n haeddu penderfyniad yn hytrach na rhestr wahardd.

Peidiwch ag ailysgrifennu pob maes DNS i wneud un label prawf yn wyrdd. Mae’r label yn disgrifio un ymholiad o un broses ar un eiliad.

Gwirio ymholiad a chysylltiad ar wahân

Profwch y ddau lwybr yn annibynnol. Mae’r prawf cysylltiad yn dangos y llwybr data, ac mae’r prawf datryswr yn dangos pwy a gafodd yr enw.

curl -sS --max-time 8 https://api.ipify.org
resolvectl query example.net
dig +short example.net

Gofynnwch i’r datryswr yn benodol hefyd, fel y gellir priodoli methiant i’r gweinydd yn hytrach na’r llwybr. Yna ailgychwynnwch y porwr ac ailadroddwch, oherwydd mae rhaglenni yn cacheio atebion negyddol ac mae methiant hen yn edrych yn barhaus.

Ar ôl newid a gymeradwywyd, cofnodwch lwybr y data a derbynnydd y datryswr fel dwy linell ar wahân gyda’r dyddiad. Os daw’r ymddygiad yn ôl ar yr ailgysylltiad nesaf, y proffil sy’n ei ddarparu sydd angen ei drwsio, nid y porwr.