Το όνομα υπολογιστή στο LAN αποτυγχάνει μέσω VPN: επίθεμα, mDNS ή ζώνη;

Δίπλα στη συσκευή, ο εκτυπωτής αποκρίνεται σε ένα σύντομο όνομα και ο διακομιστής αρχείων σε ένα ψευδώνυμο. Μέσω της σήραγγας, και τα δύο ονόματα λήγουν σε χρονικό όριο, ενώ οι διευθύνσεις τους εξακολουθούν να λειτουργούν. Η διαδρομή κάνει τη δουλειά της· η διαδρομή ονομάτων που έκανε αυτά τα σύντομα ονόματα να λειτουργούν δεν πέρασε ποτέ τη σήραγγα. Τρεις μηχανισμοί παράγουν αυτή τη συμπεριφορά και καθένας χρειάζεται διαφορετική διόρθωση.

Ξεκινήστε προσδιορίζοντας από ποιον μηχανισμό εξαρτάται το όνομα.

Τρία είδη ονομάτων που συμπεριφέρονται διαφορετικά

Ένα όνομα με μία ετικέτα, όπως το fileserver, βασίζεται συνήθως σε επίθεμα αναζήτησης DNS που προσθέτει ο επιλυτής. Αυτό το επίθεμα συχνά φτάνει με τη μίσθωση DHCP του τοπικού δικτύου, οπότε ένας απομακρυσμένος πελάτης που λαμβάνει διευθυνσιοδότηση από το VPN δεν έχει κανένα λόγο να το γνωρίζει. Η προσθήκη διαδρομής δεν παραδίδει το επίθεμα. Το σύντομο όνομα απλώς παύει να υπάρχει ως όνομα, μολονότι η διεύθυνση πίσω του είναι προσβάσιμη.

Ένα όνομα που τελειώνει σε .local συνήθως επιλύεται μέσω multicast DNS στον τοπικό σύνδεσμο, όπως περιγράφει το RFC 6762. Το multicast δεν διασχίζει δρομολογημένη σήραγγα, εκτός αν κάτι τη γεφυρώνει ή τη μεσολαβεί σκόπιμα, οπότε το όνομα παύει να επιλύεται τη στιγμή που εγκαταλείπετε το τμήμα.

Ένα πλήρως προσδιορισμένο εταιρικό όνομα ανήκει σε εσωτερική ζώνη που εξυπηρετείται από τους επιλυτές του οργανισμού. Αυτό λειτουργεί απομακρυσμένα όταν το VPN προωθεί αυτούς τους επιλυτές και ο πελάτης είναι ρυθμισμένος να τους χρησιμοποιεί. Και το localhost είναι ειδικής χρήσης κατά το RFC 6761: αναφέρεται στο μηχάνημα μπροστά σας, ποτέ σε απομακρυσμένη υπηρεσία.

Διαβάστε τον επιλυτή πριν αλλάξετε τη διαδρομή

Ρωτήστε ποιος διακομιστής ονομάτων απάντησε και ποιο επίθεμα προστέθηκε. Το ίδιο ερώτημα μέσω διαφορετικών επιλυτών δίνει διαφορετικές απαντήσεις, και αυτή η διαφορά είναι η απόδειξη που χρειάζεστε.

getent hosts fileserver
getent hosts fileserver.corp.example.com
nslookup fileserver.corp.example.com
dig +search fileserver A
resolvectl query fileserver.corp.example.com
scutil --dns | head -30

Αν το πλήρως προσδιορισμένο ερώτημα επιλύεται αλλά το σύντομο όχι, η βλάβη είναι στο επίθεμα, όχι στον διακομιστή. Αν κανένα δεν επιλύεται και η διεύθυνση λειτουργεί, ο πελάτης δεν χρησιμοποιεί καθόλου τον εσωτερικό επιλυτή. Συγκρίνετε τη λίστα επιλυτών με αυτό που υποτίθεται ότι προωθεί το VPN, γιατί ένας πελάτης που κρατά τον τοπικό επιλυτή για κάθε ερώτημα δεν θα δει ποτέ την εσωτερική ζώνη.

Φέρτε το σωστό όνομα στον πελάτη

Ζητήστε από τον διαχειριστή το τεκμηριωμένο όνομα απομακρυσμένης πρόσβασης, ολόκληρο, και χρησιμοποιήστε το στο προφίλ αντί να μαντεύετε επιθέματα. Αν η ανάπτυξη υποστηρίζει split DNS, ρυθμίστε τον εσωτερικό τομέα ώστε να επιλύεται από τους εσωτερικούς διακομιστές, ενώ όλα τα άλλα κρατούν τον τοπικό επιλυτή. Προωθήστε τον τομέα αναζήτησης μέσω της διαμόρφωσης VPN όπου ο πελάτης το υποστηρίζει.

Επαληθεύστε το αποτέλεσμα στον πελάτη και όχι στην πύλη. Μια ρύθμιση που εφαρμόζεται στον διακομιστή και δεν φτάνει ποτέ στον πελάτη δεν αλλάζει τίποτα.

Διατηρήστε άθικτη την ταυτότητα του πιστοποιητικού

Ένα τεστ βασισμένο στη διεύθυνση που αγνοεί το σφάλμα πιστοποιητικού αποδεικνύει μόνο ότι ο υποδοχέας άνοιξε. Το πιστοποιητικό της υπηρεσίας εκδίδεται για ένα όνομα και ο πελάτης θα συνεχίσει να απορρίπτει τη διαφορά για καλό λόγο. Αν το πιστοποιητικό απαριθμεί μόνο το εσωτερικό όνομα, χρησιμοποιήστε αυτό το όνομα και διορθώστε την επίλυση, ή αποκτήστε πιστοποιητικό που καλύπτει τη διεύθυνση που σκοπεύετε να χρησιμοποιήσετε.

Καταγράψτε το όνομα, τον επιλυτή και το επίθεμα που παρήγαγαν επιτυχημένη σύνδεση. Αυτή η καταγραφή γλιτώνει τον επόμενο από το να επαναλάβει την παράκαμψη με βάση τη διεύθυνση που κρύβει το πραγματικό πρόβλημα.