macOS-resolverfil til et lokalt domæne ved siden af en VPN

Din arbejds-VPN opløser virksomhedsnavne perfekt, mens printeren derhjemme forbliver utilgængelig på navn, og den sædvanlige løsning, folk griber til, er at pege hele Macen mod hjemmerouteren. Det er en meget større ændring, end problemet kræver. macOS kan sende et enkelt DNS-suffiks til sin egen server via en lille resolverfil og lade ethvert andet opslag blive præcis, hvor det var.

Tilladelsesgrænsen kommer først: dette er til et domæne, du administrerer eller har fået tilladelse til at konfigurere. Det er ikke en rute uden om en organisations håndhævede DNS-politik eller dens begrænsninger for det lokale netværk.

Én fil med en smal opgave

Antag, at den lokale zone er lab.example.org og dens server svarer på 192.168.55.1. På en Mac, hvor du har lov til at foretage ændringen, opretter en administrator en almindelig tekstfil, hvis navn er selve domænet, /etc/resolver/lab.example.org, der indeholder en enkelt nameserver 192.168.55.1 linje. Mappen findes måske ikke på et nyt system, så opret den med administratorrettigheder, og se efter, før du skriver, i tilfælde af at administrationssoftware allerede ejer en fil der.

Apples resolverkonfiguration dokumenterer konventionen om, at filnavnet angiver domænet, når der ikke står en separat domæneindstilling inde i filen. Den navngivningsregel er hele tricket, og det er derfor, filen skal navngives efter zonen og ikke efter serveren.

Hvordan macOS vælger mellem resolvere

Mere end én resolverklient kan være aktiv, og det mest specifikke matchende domæne vinder. En resolver til lab.example.org har derfor et andet omfang end standardresolveren, og et mere specifikt underdomæne med sin egen fil kan igen få forrang. Det er det, der lader en arbejds-VPN beholde sit eget suffiks, mens din lab-zone går andre steder hen. Intet ved arrangementet er globalt, og det er pointen værd at huske.

Lad /etc/resolv.conf være i fred. macOS skriver selv den fil, og den har aldrig indeholdt det fulde billede af domænespecifik opløsning. Konfiguration kan også komme fra systemets konfigurationsdatabase i stedet for fra filer i denne mappe, og derfor kan en administrationsprofil tilsidesætte det, du skrev.

Tre ting, filen ikke kan levere

Serveren skal være tilgængelig. Hvis VPN'en blokerer lokalt netværk, eller en virksomhedsrute opfanger serverens adresseområde, kan en fuldstændig korrekt suffiksfil stadig ikke levere en forespørgsel. Tag det til netværksejeren i stedet for selv at udvide lokale undtagelser.

Zonen skal indeholde det rigtige svar, og det testes bedst med et fuldt kvalificeret navn som printer.lab.example.org. Et kort navn kan aktivere søgedomæneadfærd og ende med at stille et andet spørgsmål, end det du mente.

Endelig skal programmet kunne bruge svaret. At opløse en printers navn giver ikke adgang til dens adresse, og det åbner ikke tjenesten bag den. Den returnerede adresse kræver stadig en tilladt rute og en adgangspolitik, der tillader forbindelsen. En resolverfil ændrer, hvor et navn slås op; den reserverer ikke en vej til resultatet.

Bekræft valget i stedet for at erstatte DNS

Undersøg, hvad macOS faktisk bruger lige nu, og forespørg det fuldt kvalificerede navn inde fra selve programmet eller fra et værktøj, der opløser, som programmer gør. En direkte forespørgsel på 192.168.55.1 beviser, at serveren svarer; det beviser ikke, at macOS valgte den server til almindelige opslag. Det er forskellige fakta, og kun den anden beskriver, hvad din browser vil opleve.

Hvis en anden resolver allerede gør krav på det samme suffiks, så find ud af, hvem der ejer det, før du tilføjer prioritetshints. Den dokumenterede search_order indstilling ordner klienter, der deler et domæne; det er ikke en global præferencekontakt, der får en generel resolver til at vinde hver forespørgsel.

Bekræft, at virksomhedsnavne stadig opløses med VPN'en tilsluttet, og noter derefter filen og dens formål i dine lokale noter. Når arrangementet nedlægges, skal du kun slette den fil og kontrollere begge navnerum igen i stedet for at nulstille alle netværkets DNS-indstillinger.