macOS-Resolver-Datei für eine lokale Domain neben einem VPN

Ihr Arbeits-VPN löst Firmennamen perfekt auf, während der Drucker zu Hause über den Namen unerreichbar bleibt, und die übliche Lösung, zu der Menschen greifen, ist, den ganzen Mac auf den Heimrouter zu zeigen. Das ist eine viel größere Änderung, als das Problem verlangt. macOS kann ein einzelnes DNS-Suffix über eine kleine Resolver-Datei an seinen eigenen Server schicken und jeden anderen Lookup genau dort lassen, wo er war.

Die Berechtigungsgrenze kommt zuerst: Das gilt für eine Domain, die Sie verwalten oder für deren Konfiguration Sie autorisiert sind. Es ist kein Weg um die durchgesetzte DNS-Richtlinie einer Organisation oder deren Einschränkungen im lokalen Netz herum.

Eine Datei mit einer schmalen Aufgabe

Nehmen wir an, die lokale Zone ist lab.example.org und ihr Server antwortet auf 192.168.55.1. Auf einem Mac, auf dem Sie die Änderung vornehmen dürfen, legt ein Administrator eine reine Textdatei an, deren Name die Domain selbst ist, /etc/resolver/lab.example.org, die eine einzige nameserver 192.168.55.1 Zeile enthält. Das Verzeichnis existiert auf einem frischen System möglicherweise nicht, legen Sie es also mit Administratorrechten an und schauen Sie vor dem Schreiben nach, falls Verwaltungssoftware dort bereits eine Datei besitzt.

Apples Resolver-Konfiguration dokumentiert die Konvention, dass der Dateiname die Domain liefert, wenn in der Datei keine separate Domain-Einstellung erscheint. Diese Namensregel ist der ganze Trick, und deshalb muss die Datei nach der Zone und nicht nach dem Server benannt werden.

Wie macOS zwischen Resolvern wählt

Mehr als ein Resolver-Client kann aktiv sein, und die spezifischste passende Domain gewinnt. Ein Resolver für lab.example.org hat daher einen anderen Geltungsbereich als der Standard-Resolver, und eine spezifischere Subdomain mit eigener Datei kann erneut Vorrang bekommen. Das lässt ein Arbeits-VPN sein eigenes Suffix behalten, während Ihre Laborzone woanders hingeht. Nichts an dieser Anordnung ist global, und das ist der Punkt, den man sich merken sollte.

Lassen Sie /etc/resolv.conf in Ruhe. macOS schreibt diese Datei selbst, und sie enthielt nie das vollständige Bild der domänenspezifischen Auflösung. Die Konfiguration kann auch aus der Systemkonfigurationsdatenbank kommen statt aus Dateien in diesem Verzeichnis, weshalb ein Verwaltungsprofil überschreiben kann, was Sie geschrieben haben.

Drei Dinge, die die Datei nicht liefern kann

Der Server muss erreichbar sein. Wenn das VPN lokale Netzwerkverbindungen blockiert oder eine Firmenroute den Adressbereich des Servers abfängt, kann eine völlig korrekte Suffixdatei trotzdem keine Abfrage zustellen. Bringen Sie das beim Netzwerkverantwortlichen vor, statt selbst lokale Ausnahmen auszuweiten.

Die Zone muss die richtige Antwort enthalten, und das testet man am besten mit einem voll qualifizierten Namen wie printer.lab.example.org. Ein kurzer Name kann das Verhalten von Suchdomänen auslösen und am Ende eine andere Frage stellen als die, die Sie meinten.

Schließlich muss die Anwendung die Antwort nutzen können. Den Namen eines Druckers aufzulösen gewährt keinen Zugriff auf seine Adresse, und es öffnet nicht den Dienst dahinter. Die zurückgegebene Adresse braucht weiterhin eine erlaubte Route und eine Zugriffsrichtlinie, die die Verbindung zulässt. Eine Resolver-Datei ändert, wo ein Name nachgeschlagen wird; sie reserviert keinen Pfad für das Ergebnis.

Prüfen Sie die Auswahl, statt DNS zu ersetzen

Prüfen Sie, was macOS gerade tatsächlich verwendet, und fragen Sie den voll qualifizierten Namen aus der Anwendung selbst oder aus einem Werkzeug ab, das so auflöst, wie es Anwendungen tun. Eine direkte Abfrage bei 192.168.55.1 beweist, dass der Server antwortet; sie beweist nicht, dass macOS diesen Server für gewöhnliche Lookups gewählt hat. Das sind verschiedene Fakten, und nur der zweite beschreibt, was Ihr Browser erleben wird.

Wenn ein anderer Resolver bereits dasselbe Suffix beansprucht, finden Sie heraus, wem es gehört, bevor Sie Prioritätshinweise hinzufügen. Die dokumentierte search_order Einstellung ordnet Clients, die sich eine Domain teilen; sie ist kein globaler Präferenzschalter, der einen allgemeinen Resolver jede Abfrage gewinnen lässt.

Bestätigen Sie, dass Firmennamen bei verbundenem VPN weiterhin aufgelöst werden, und notieren Sie dann die Datei und ihren Zweck in Ihren lokalen Notizen. Wenn die Anordnung aufgegeben wird, löschen Sie nur diese Datei und prüfen Sie beide Namensräume erneut, statt alle DNS-Einstellungen des Netzwerks zurückzusetzen.