Mae DNS y VPN yn cymryd pob chwiliad: trwsiwch dns-priority NetworkManager

Cysylltwch VPN y swyddfa ac yn sydyn mae pob chwiliad enw yn mynd i’r datryswr corfforaethol. Mae enwau cyhoeddus yn dal i ddatrys, felly nid yw unrhyw beth yn edrych yn doredig nes i enw argraffydd lleol fethu neu gofnod split-horizon ddychwelyd cyfeiriad y swyddfa. Ar rai gosodiadau Fedora mae’r gwrthwyneb yn digwydd: mae datryswr y darparwr yn parhau i ateb ar ôl i’r tiwnel godi. Mae’r ddau yn un cwestiwn — pa ddatryswr sy’n berchen ar y cwestiwn hwn — ac ar systemau NetworkManager mae’r ateb yn byw yn y priodweddau DNS fesul cysylltiad.

Dau gysylltiad, un datryswr buddugol

Mae pob cysylltiad yn datgan blaenoriaeth DNS. Mae cysylltiadau cyffredin yn rhagosod 50 a chysylltiadau VPN yn rhagosod 0, a’r gwerth isaf sy’n ennill. Dyna’r rheswm pam mae cysylltiad VPN yn mud orchfygu’r ddolen wifredig ar gyfer pob parth y mae’n ei hawlio: mae sero yn curo hanner cant heb i unrhyw un ei ddewis.

Mae blaenoriaeth yn trefnu’r ymgeiswyr. Nid yw’n cyfyngu ar beth y gofynnir i’r enillydd amdano. Mae cysylltiad VPN heb barth chwilio yn hawlio popeth, felly mae ei ffafrio hefyd yn anfon ymholiadau cyhoeddus i’r tiwnel ac, mewn dyluniad tiwnel hollt, i ble bynnag y mae’r datryswr corfforaethol yn anfon ymlaen.

Blaenoriaeth sy’n penderfynu trefn, y rhestr chwilio sy’n penderfynu perchnogaeth

nmcli -f connection.id,ipv4.dns,ipv4.dns-search,ipv4.dns-priority con show "Corp VPN"
resolvectl status
readlink -f /etc/resolv.conf

Y rhestr chwilio yw’r datganiad perchnogaeth. Mae parth noeth fel corp.example yn dod yn ôl-ddodiad chwilio ac yn barth llwybro. Mae’r ffurf llwybro-yn-unig ~corp.example yn anfon chwiliadau o dan yr ôl-ddodiad hwnnw i’r cysylltiad hwn heb atodi’r parth at enwau byr. Y tilde hwnnw yw’r gwahaniaeth rhwng «gofyn i’r gweinydd hwn» a «gofyn i’r gweinydd hwn a gorffen fy nheipio».

Defnyddiwch y ddwy ffurf pan fydd defnyddwyr yn teipio enwau gwesteiwr byr ac mae’r cofnodion hefyd yn cael eu cyfeirio fel enwau cwbl gymwys. Defnyddiwch y ffurf llwybro yn unig pan fyddwch am yr hollt heb newid sut mae’r datryswr yn cwblhau enw noeth.

Yna gwnewch y ffafriaeth yn amlwg ac ailweithredwch:

nmcli con modify "Corp VPN" ipv4.dns-priority -100
nmcli con modify "Corp VPN" ipv6.dns-priority -100
nmcli con modify "Corp VPN" ipv4.dns-search "~corp.example,corp.example"
nmcli con up "Corp VPN"

Blaenoriaeth negyddol yw’r ffordd a ddogfennwyd o ddweud «ffafria’r cysylltiad hwn», ac mae gosod y ddau deulu cyfeiriad yn cadw’r ymddygiad yn gyson ar westeiwr sydd â chysylltedd IPv6. Nid yw newid y briodwedd heb ailweithredu’r cysylltiad yn newid unrhyw beth sy’n rhedeg ar hyn o bryd, a dyna pam mae’r dilyniant yn gorffen ag up pendant.

Gadewch i systemd-resolved ddal yr hollt

Mae ategyn dnsmasq diofyn yn tywallt ymholiadau i un datryswr lleol, felly mae’r gwahanu fesul dolen yn aros yn fras. Mae systemd-resolved yn datgelu’r hollt fesul dolen, ac mae resolvectl query yn enwi’r ddolen a atebodd.

systemctl enable --now systemd-resolved
ln -sf /run/systemd/resolve/stub-resolv.conf /etc/resolv.conf
systemctl restart systemd-resolved NetworkManager
resolvectl query build.corp.example

Wedi hynny mae’r ddolen gorfforaethol yn cario corp.example ac mae datryswr cyhoeddus yn gwasanaethu’r gweddill. Pan fydd ymholiad yn cyrraedd y ddolen anghywir, mae’r gorchymyn yn enwi’r ddolen a atebodd iddo, a gwell gwybod hynny na gwybod y cyfeiriad yn unig.

Cyfatebwch y dyluniad DNS i’r math o diwnel

Ni ddylai dyluniadau preifatrwydd sy’n anfon popeth drwy’r tiwnel gario rhestr hollt, oherwydd byddai’n dychwelyd enwau cyhoeddus i’r datryswr lleol ac yn dadwneud y bwriad. Mae angen un ar ddyluniadau tiwnel hollt: hebddo mae’r datryswr corfforaethol yn gweld pob ymholiad cyhoeddus, ac mae’r gosodiad yn torri’r eiliad y bydd y tiwnel yn cwympo.

Yna mae’r kill switch sy’n rhwystro DNS y tu allan i’r tiwnel. Mae enwau’n datrys ar gyfer parthau’r tiwnel ac yn methu ym mhob man arall tra bo’r cysylltiad yn berffaith iach. Yr atebion ymarferol yw caniatâd pendant i ddatryswr y LAN neu storfa leol sy’n anfon y parth corfforaethol yn unig ymlaen, ac mae’r naill neu’r llall yn eithriad sydd â pherchennog yn hytrach na nam yn y tiwnel.

Mae proffil sy’n ailysgrifennu cyfluniad y datryswr wrth gychwyn y rhyngwyneb yn ymddwyn yn yr un modd i raddau helaeth: unwaith y bydd y datryswr lleol yn anghyraeddadwy, dim ond yr enwau y mae’r tiwnel yn eu gwybod fydd yn datrys. Pa bynnag fecanwaith sy’n berthnasol, nodwch pa enwau sydd i fod i weithio ym mhob cyflwr, a rhowch y rhestr honno i bwy bynnag sy’n trin yr adroddiadau.

Dilyswch fesul dolen, yna eto ar ôl ailgysylltu

Gofynnwch un enw mewnol ac un enw cyhoeddus, a gwyliwch ble mae’r ymholiad yn mynd mewn gwirionedd. Mae tudalen gwirio gollyngiadau yn dweud pa ddatryswr a atebodd, nid pa ddolen a ddewisodd y system, felly nid yw’n dweud dim am y drefn yr ydych newydd ei chyflunio.

Rhedwch y ddau ymholiad eto ar ôl datgysylltu ac ailgysylltu. Mae blaenoriaethau’n cael eu hailgymhwyso pan fydd cysylltiad yn weithredol, a gall hen gyswllt symbolaidd oroesi uwchraddiad nad oes neb yn cofio amdano. Yr hyn yr ydych am ei nodi ar y diwedd yw pa ddatryswr sy’n berchen ar ba ôl-ddodiad, ynghyd â gwiriad sy’n dal i fod yn wir yfory.