mDNS im VPN: Warum .local-Namen nicht aufgelöst werden

Der Drucker im Büro erscheint in jeder Anwendung an Ihrem Schreibtisch und verschwindet im VPN, obwohl Sie die Adresse anpingen können, die er Ihrer Kenntnis nach hat. Im Tunnel ist nichts defekt: Erkennung und Erreichbarkeit sind getrennte Dienste, und standardmäßig überquert nur einer von ihnen einen gerouteten Tunnel. Die folgenden Prüfungen trennen beide, bevor Sie Routen hinzufügen. Eine Route kann eine Abfrage nicht reparieren, die die Verbindung nie verlassen hat.

Prüfen Sie, was heute aufgelöst wird und was nur aufgelöst aussieht

Trennen Sie zuerst die beiden Fragen: Eine Unicast-Abfrage für einen Hostnamen fragt einen Resolver, während eine Suche nach _ipp._tcp die lokale Verbindung fragt. Unter Linux zeigt avahi-browse -a, was Multicast-DNS sehen kann, und resolvectl query name.local zeigt, was der Resolver-Stack mit diesem Namen tut. Unter macOS listet dns-sd -B _ipp._tcp erkannte Dienste auf, ohne zuerst eine Adresse zu benötigen.

Wenn die Adresse antwortet und der Name nicht, funktioniert das Routing und die Erkennung nicht. Ein .local-Name kann auch auf dem Host selbst über nss-mdns beantwortet werden, ohne dass avahi-browse installiert ist, daher ist ein erfolgreiches getent oder ping auf diesen Namen kein Beweis dafür, dass die Erkennung den Tunnel überquert hat; das Suchergebnis und das Resolver-Ergebnis sind verschiedene Beweise. Anwendungen cachen, was sie erkannt haben, weshalb der Fehler oft Stunden nach dem Verbinden und nicht beim Verbinden auftritt. Beenden Sie die Anwendung und öffnen Sie sie erneut, und prüfen Sie dann, ob der Cache-Eintrag einen Namen oder eine Adresse enthält, denn eine Adresse funktioniert noch lange, nachdem die Erkennung aufgehört hat.

Warum die Abfrage den Tunnel nie überquert

Multicast-DNS sendet Abfragen an 224.0.0.251, innerhalb des Steuerblocks für lokale Netze, auf UDP-Port 5353. Router leiten Adressen aus diesem Block nicht weiter, daher bleibt die Abfrage auf der Verbindung, an die sie gesendet wurde. Sender setzen außerdem die IP-TTL oder das IPv6-Hop-Limit auf 255, damit ein Empfänger ein Paket ablehnen kann, das bereits einen Router überquert hat; so erkennt das Protokoll Off-Link-Spoofing, nicht so bleibt es lokal. Die Lokalität kommt von der Zieladresse, nicht von einer TTL von einem Hop.

Auch der Tunneltyp spielt eine Rolle. Eine Schnittstelle im tun-Stil überträgt IP-Pakete und sonst nichts, daher überlebt keine Multicast-Gruppe sie. Eine Brücke im tap-Stil erweitert die Broadcast-Domäne selbst, weshalb manche älteren Designs brückten statt zu routen und jedes Problem erbten, das Brücken mit sich bringt.

Eine Ausnahme für vertrauenswürdige LANs ändert nichts daran, denn sie entscheidet, welcher Verkehr den Tunnel nutzen darf, statt dem Tunnel beizubringen, Multicast weiterzuleiten. Das Paket hat weiterhin kein gemeinsames Segment, auf dem es gehört werden könnte.

Wählen Sie ein Namensdesign, das Sie tragen können

Für Unternehmensressourcen ist die dauerhafte Antwort ein gerouteter Hostname, der vom Resolver bedient wird, den das VPN pusht, mit geteiltem DNS, damit interne Namen zu internen Servern gehen und alles andere nicht. Windows stellt das als Tabelle für Namensauflösungsrichtlinien bereit, macOS verwendet bereichsbezogene Resolver pro Schnittstelle, und die meisten Clients haben eine entsprechende Push-Einstellung. Das Gerät behält seinen normalen Namen im internen DNS, und die Erkennung ist nicht mehr Teil des Weges.

Ein Erkennungsproxy oder ein mDNS-Reflektor kann die Lücke überbrücken, und das ist ein echtes Design mit eigenem Host, eigener Exposition und eigenen Client-Anforderungen. Es erscheint nicht, weil Sie eine Route hinzugefügt haben. Leiten Sie niemals .local-Abfragen an einen öffentlichen Resolver weiter: Die Domain ist durch RFC 6762 für lokale Multicast-Nutzung reserviert, und sie nach außen zu senden erzeugt langsame Fehler und unnötige Datenoffenlegung.

Prüfen Sie den Dienst, nicht den Namen

Ein Name in einer Suchliste belegt den Erkennungsschritt, nicht dass der Dienst antwortet. Öffnen Sie die Druckwarteschlange oder die Weboberfläche und führen Sie einen echten Vorgang aus, und wiederholen Sie ihn nach einer erneuten Verbindung.

Die Erkennung cached Namen aggressiv, sodass ein veralteter Eintrag wie ein Erfolg aussehen kann. Wenn ein Zertifikat oder eine Authentifizierungsabfrage erscheint, ist das die nächste Ebene und ein separates Problem. Notieren Sie, welchen Mechanismus Sie geändert haben, Resolver oder Erkennung, damit die nächste Person die ganze Frage nicht erneut aufrollt.