Mae DNS y gwestai VirtualBox NAT yn torri ar ôl i'r gwesteiwr ymuno â VPN

Ar westeiwr Windows mae enw mewnol y cymhwysiad yn datrys unwaith y bydd y VPN yn cysylltu, ac y tu mewn i westeai Ubuntu nid yw. Mae'r gwestai yn cadw ei osodiadau datryswr ei hun, a gall yr addasydd NAT o'i flaen ateb ymholiadau DNS mewn dwy ffordd wahanol. Mae pwyntio'r gwestai at ddatryswr cyhoeddus yn gwneud i wefannau lwytho eto tra bo enwau preifat yn parhau'n doredig. Dyna pam y caiff llwybr y datryswr ei olrhain cyn i unrhyw beth gael ei olygu.

Olrheiniwch un ymholiad drwy'r addasydd NAT

Dewiswch un enw mewnol wedi'i gymhwyso'n llawn ac un enw cyhoeddus fel rheolaeth. Gyda'r twnnel i fyny, cadarnhewch ar y gwesteiwr fod yr enw mewnol yn datrys a bod y cymhwysiad y tu ôl iddo yn agor. Yna rhedwch yr un ddau ymholiad y tu mewn i'r gwestai a chymharwch yr atebion, nid yr offer.

Cadarnhewch fod yr addasydd yn NAT plaen go iawn cyn mynd ymhellach. Mae addasydd bont, rhwydwaith NAT a enwir ac ail gleient VPN y tu mewn i'r gwestai bob un â'i ffurfweddiad a'i esboniad ei hun. Mae dyfalu ar y pwynt hwn yn gwastraffu gweddill yr ymchwiliad.

VBoxManage showvminfo work-ubuntu --machinereadable | grep -i natnet
resolvectl status | head -40
cat /etc/resolv.conf

Mae'r gorchymyn cyntaf yn dangos modd yr addasydd ac unrhyw rwydwaith NAT sydd ynghlwm wrtho. Y tu mewn i westeai Ubuntu mae'r ail yn rhestru gosodiadau DNS fesul cyswllt, ac mae'r trydydd yn aml yn datguddio dim ond cyfeiriad stub lleol, sy'n golygu bod y gwir upstream yn rhywle arall.

Cadwch ddatrysiad a chyrhaeddiad ar wahân. Mae gan westai sy'n derbyn y cyfeiriad cywir ond na all agor cysylltiad broblem llwybro, hidlo neu ganiatâd gwasanaeth, ac ni fydd newidiadau DNS pellach byth yn cyffwrdd â hi. Profwch y cyfeiriad ar wahân ac ysgrifennwch pa un o'r ddau a fethodd.

Mae modd dirprwy a modd datryswr y gwesteiwr yn fecanweithiau gwahanol

Ym modd dirprwy mae'r peiriant NAT yn anfon ymholiadau'r gwestai at weinyddwyr DNS y mae'n eu hadnabod yn barod. Ym modd datryswr y gwesteiwr mae'n rhyng-gipio'r ymholiad ac yn gofyn i system weithredu'r gwesteiwr ddatrys yr enw gyda'r hyn y mae'r gwesteiwr yn ei ddefnyddio nawr. Dim ond yr ail sy'n dilyn cleient VPN sy'n ailysgrifennu datrysiad y gwesteiwr pan ddaw'r twnnel i fyny. Dyna pam mae'r ddau osodiad yn cynhyrchu atebion gwahanol ar yr un peiriant.

Y gwahaniaeth hwnnw yw'r broblem gyfan mewn un frawddeg. Nid yw rhoi rhestr o gyfeiriadau gweinydd i'r gwestai yr un peth â gofyn i Windows ddatrys enw drwy ei ddatryswr wedi'i ffurfweddu, ac mewn VPN DNS hollt mae'r ddau ateb yn wahanol. Mae'r opsiwn addasydd yn ymwneud â mecanwaith, nid â chaniatâd.

Nid yw'r naill fodd na'r llall yn rhoi mynediad at unrhyw beth. Mae awdurdodi yn byw ym mholisi'r VPN ac yn y gwasanaeth, ac nid yw ymholiad sy'n gweithio yn golygu dim mwy na bod enw wedi troi'n gyfeiriad.

Newidiwch yr addasydd, yna gwiriwch beth mae'r gwestai yn ei dderbyn

Cofnodwch osodiadau rhwydwaith a DNS y VM yn gyntaf, yna cau'r peiriant fel mai'r ffurfweddiad parhaus yw'r hyn rydych yn ei olygu. Ar gyfer VM o'r enw work-ubuntu y mae ei addasydd cyntaf yn cario NAT, gosodir yr opsiwn fesul addasydd o'r gwesteiwr tra bo'r VM i lawr. Dechreuwch ef eto wedyn ac archwiliwch y canlyniad yn hytrach na hyderu yn y statws allanfa.

VBoxManage modifyvm work-ubuntu --natdnshostresolver1 on
VBoxManage showvminfo work-ubuntu --machinereadable | grep -i natdns

Mae'r digid olaf yn dewis rhif yr addasydd, felly nid yw'n werth cyffredinol; byddai gosodiad addasydd 2 yn cario 2 yn y safle hwnnw. Defnyddiwch y deuaidd VBoxManage sy'n perthyn i'r fersiwn VirtualBox a osodwyd, oherwydd gall un hŷn ar y llwybr ysgrifennu gosodiadau y mae'r fersiwn sy'n rhedeg yn eu hanwybyddu.

Mae galluogi'r opsiwn dirprwy yn lle hynny yn dewis mecanwaith gwahanol ac nid yw'n rhoi ymddygiad datryswr y gwesteiwr i chi. Ar ôl i'r gwestai gychwyn, gwiriwch y ffurfweddiad DNS y mae'n ei ddal mewn gwirionedd, oherwydd mae datryswr wedi'i binio neu osodiad DNS wedi'i amgryptio y tu mewn i'r gwestai yn cadw cymwysiadau ar lwybr arall waeth beth y mae'r addasydd yn ei gynnig.

Profwch ar draws cylch bywyd y VPN, nid unwaith yn unig

Ailadroddwch y ddau ymholiad yn y gwestai, yna agorwch y cymhwysiad go iawn a gadewch iddo ddilysu enw gwesteiwr TLS. Mae prawf cysylltiad IP yn unig yn ynysu DNS yn dda, ond nid yw'n wiriad tystysgrif ac ni ddylid ei adrodd fel un. Cofnodwch yr enw, y cyfeiriad a chanlyniad y cymhwysiad gyda'i gilydd.

Yn ystod ffenestr gymeradwy, datgysylltwch ac ailgysylltwch VPN y gwesteiwr ac ailadroddwch y prawf. Dylai'r canlyniad gyd-fynd â'r polisi mynediad, ac nid yw datrysiad cyhoeddus yn gweithio eto yn dweud dim am a arhosodd ymholiadau preifat ar y llwybr a fwriadwyd.

Pan nad yw modd datryswr y gwesteiwr yn newid dim, rhowch y gwerth a gofnodwyd yn ôl a chadwch yr arsylwadau. Mae cleient VPN sy'n eithrio traffig hypervisor, datryswr mewnol na ellir cyrraedd ef, a gosodiad gwestai wedi'i binio pob un angen cywiriad gwahanol, ac mae pontio'r addasydd yn newid cynllun y rhwydwaith yn hytrach nag ailosod DNS.