VPN-Hostnamen schlagen fehl, IP-Adressen funktionieren: wo man nachsehen muss

Sie können die Freigabe über die Adresse öffnen, und dieselbe Freigabe über den Namen schlägt fehl, was bedeutet, dass der Tunnel Pakete befördert und die Namensschicht nicht. Diese eine Beobachtung erspart einen Umweg über Firewall- und Routenänderungen. Namen brauchen ein Suffix, einen Resolver und einen Weg für die Abfrage, und ein VPN-Client kann eine Route installieren, ohne irgendetwas davon zu installieren. Gehen Sie die vier Prüfungen unten der Reihe nach durch und halten Sie bei der ersten an, die bricht.

Ein Name stellt eine Frage, die eine Adresse nicht stellt

Eine Adresse ist ein Ziel, das der Stack sofort nutzen kann. Ein Kurzname ist eine Frage, die um ein Suffix erweitert, an einen Resolver geschickt und von etwas beantwortet werden muss, das die Zone kennt. Ein Tunnel, der Routen, aber keinen Resolver installiert, lässt das Erste funktionieren und das Zweite kaputt. Deshalb wirkt das Symptom über sehr unterschiedliche VPN-Produkte hinweg so gleichförmig.

Arbeiten Sie von der Adresse nach außen: zuerst der volle Name, dann der nackte Hostname, und notieren Sie, welcher der drei funktioniert. Das Muster sagt Ihnen, welche Schicht Sie prüfen müssen, bevor Sie einen einzigen Konfigurationsbildschirm öffnen. Bei Routen zu raten, wenn der FQDN aufgelöst wird, ist verschwendete Mühe.

Lesen Sie den Resolver, den der Tunnel tatsächlich installiert hat

Fragen Sie das Betriebssystem welcher Resolver Abfragen für die interne Zone bearbeitet, nicht welchen die Schnittstelle des VPN-Clients ankündigt. Ein Server, der einen öffentlichen Resolver ohne interne Zone aufdrängt, erzeugt genau dieses Versagen, und das ist ein Konfigurationsfehler und kein Routingfehler.

resolvectl status
nslookup fileserver.corp.example
nslookup fileserver

Auf einem domänenbeigetretenen Windows-Client entscheidet die Namespace-Routingrichtlinie, welche Abfragen an welchen Resolver gehen, und die eigenen DNS-Einstellungen des VPN-Adapters erscheinen in den Adapterdetails. Lesen Sie die effektive Richtlinie statt des Profils, denn eine zwischengespeicherte Richtlinie kann die Verbindung überleben, die sie installiert hat. Wenn der Resolver den FQDN und nicht den Kurznamen beantwortet, ist das Problem bereits zur Suffixliste gewandert.

Get-DnsClientNrptPolicy
ipconfig /all

Halten Sie an, wenn die interne Zone über den richtigen Server aufgelöst wird. Der Resolver ist nicht Ihr Problem.

Suffixe erklären Kurznamen, die scheitern

Ein Name mit einem einzigen Label wird vor dem Absenden der Abfrage um die Suffixliste der Verbindung erweitert. Wenn das VPN das interne Suffix nicht liefert, wird fileserver nie zu fileserver.corp.example, und die Abfrage geht als ein Name hinaus, den kein öffentlicher Resolver kennt. Das Suffix aufzudrängen oder den vollen Namen zu tippen prüft die Hypothese, ohne am Server etwas zu ändern.

nslookup fileserver.corp.example
ping -a 192.168.50.20

Unter Linux bindet der Resolverdienst einen DNS-Server an eine Schnittstelle und eine Menge von Routingdomänen, sodass ein aufgedrängter Server, der nicht mit der Schnittstelle des Tunnels verknüpft ist, sich verhält, als wäre er nicht da. Prüfen Sie den Status pro Schnittstelle statt die Stub-Datei, die möglicherweise nur auf den lokalen Resolver zeigt. Dieselbe Spaltung zeigt sich in der anderen Richtung: eine Suchdomäne, die vorhanden, aber nicht auf die Tunnelschnittstelle angewendet ist, erzeugt Kurznamenfehler, die zufällig wirken.

Wenn das Hinzufügen des Suffixes es behebt, besteht die verbleibende Arbeit darin, dieses Suffix über das VPN-Profil zu liefern, statt jeden Benutzer zu bitten, es zu tippen.

NetBIOS und WINS sind ein anderer Mechanismus

Legacy-SMB kann einen nackten Namen noch über den NetBIOS-Namensdienst auflösen, der per Broadcast oder über einen WINS-Server antwortet. Broadcast bleibt innerhalb einer Broadcast-Domäne und endet am ersten Router, kann also nicht durch einen Tunnel reichen; WINS funktioniert, weil der Client eine Unicast-Adresse hat, bei der er sich registriert und die er abfragt. Deshalb kann ein VPN, das nur IP trägt, alte Namen noch unterstützen, wenn WINS konfiguriert und erreichbar ist.

nbtstat -n
nbtstat -R

Verlassen Sie sich bei modernem SMB auf DNS und den vollen Namen und verabschieden Sie den Altpfad. Wenn er wirklich alt ist, stellen Sie WINS bereit oder ersetzen Sie die Anwendung; der Mittelweg ist eine Support-Warteschlange, die nie leer wird.

Der Rundgang endet, wenn Sie sagen können, welche Schicht versagt hat: Resolver, Suffix oder alte Erkennung. Notieren Sie den Resolver, der geantwortet hat, und die Namensform, die funktioniert hat, weil die nächste Person vom selben Symptom ausgeht.