Αρχείο resolver του macOS για τοπικό domain δίπλα σε VPN

Το VPN της εργασίας σας επιλύει τέλεια τα ονόματα των εταιρειών, ενώ ο εκτυπωτής στο σπίτι παραμένει μη προσβάσιμος με το όνομα, και η συνήθης λύση στην οποία καταφεύγουν οι άνθρωποι είναι να στρέψουν ολόκληρο το Mac προς τον οικιακό δρομολογητή. Αυτή είναι μια πολύ μεγαλύτερη αλλαγή από ό,τι απαιτεί το πρόβλημα. Το macOS μπορεί να στείλει ένα μόνο επίθημα DNS στον δικό του διακομιστή μέσω ενός μικρού αρχείου resolver, αφήνοντας κάθε άλλη αναζήτηση ακριβώς εκεί που ήταν.

Το όριο άδειας έρχεται πρώτο: αυτό αφορά domain που διαχειρίζεστε ή για τη διαμόρφωση του οποίου έχετε εξουσιοδότηση. Δεν είναι διαδρομή γύρω από την επιβεβλημένη πολιτική DNS ενός οργανισμού ή τους περιορισμούς του τοπικού δικτύου του.

Ένα αρχείο με μια στενή αποστολή

Ας υποθέσουμε ότι η τοπική ζώνη είναι lab.example.org και ο διακομιστής της απαντά στη διεύθυνση 192.168.55.1. Σε ένα Mac όπου επιτρέπεται να κάνετε την αλλαγή, ένας διαχειριστής δημιουργεί ένα απλό αρχείο κειμένου του οποίου το όνομα είναι το ίδιο το domain, /etc/resolver/lab.example.org, που περιέχει μία μόνο nameserver 192.168.55.1 γραμμή. Ο κατάλογος μπορεί να μην υπάρχει σε ένα νέο σύστημα, οπότε δημιουργήστε τον με δικαιώματα διαχειριστή και κοιτάξτε πριν γράψετε, σε περίπτωση που λογισμικό διαχείρισης κατέχει ήδη κάποιο αρχείο εκεί.

Η διαμόρφωση resolver της Apple τεκμηριώνει τη σύμβαση ότι το όνομα του αρχείου παρέχει το domain όταν μέσα στο αρχείο δεν εμφανίζεται ξεχωριστή ρύθμιση domain. Αυτός ο κανόνας ονομασίας είναι όλο το κόλπο, και γι' αυτό το αρχείο πρέπει να ονομάζεται κατά τη ζώνη και όχι κατά τον διακομιστή.

Πώς το macOS επιλέγει ανάμεσα σε resolvers

Περισσότεροι από ένας πελάτες resolver μπορεί να είναι ενεργοί, και κερδίζει το πιο συγκεκριμένο domain που ταιριάζει. Ένας resolver για lab.example.org έχει επομένως διαφορετικό πεδίο από τον προεπιλεγμένο resolver, και ένα πιο συγκεκριμένο υπο-domain με δικό του αρχείο μπορεί να πάρει ξανά προτεραιότητα. Αυτό επιτρέπει σε ένα VPN εργασίας να κρατήσει το δικό του επίθημα ενώ η ζώνη του εργαστηρίου σας πηγαίνει αλλού. Τίποτα στη διάταξη δεν είναι καθολικό, και αυτό είναι το σημείο που αξίζει να θυμάστε.

Αφήστε /etc/resolv.conf ήσυχο. το macOS γράφει το ίδιο αυτό το αρχείο, και ποτέ δεν περιείχε την πλήρη εικόνα της επίλυσης που αφορά συγκεκριμένο domain. Η διαμόρφωση μπορεί επίσης να έρθει από τη βάση δεδομένων διαμόρφωσης του συστήματος αντί από αρχεία σε αυτόν τον κατάλογο, και γι' αυτό ένα προφίλ διαχείρισης μπορεί να υπερισχύσει αυτού που γράψατε.

Τρία πράγματα που το αρχείο δεν μπορεί να παρέχει

Ο διακομιστής πρέπει να είναι προσβάσιμος. Αν το VPN μπλοκάρει την τοπική δικτύωση, ή μια εταιρική διαδρομή αιχμαλωτίζει το εύρος διευθύνσεων του διακομιστή, ένα απολύτως σωστό αρχείο επιθήματος εξακολουθεί να μην μπορεί να παραδώσει ερώτημα. Πηγαίνετε αυτό στον ιδιοκτήτη του δικτύου αντί να διευρύνετε μόνοι σας τοπικές εξαιρέσεις.

Η ζώνη πρέπει να κρατά τη σωστή απάντηση, και αυτό δοκιμάζεται καλύτερα με ένα πλήρως πιστοποιημένο όνομα όπως printer.lab.example.org. Ένα σύντομο όνομα μπορεί να ενεργοποιήσει συμπεριφορά domain αναζήτησης και να καταλήξει να κάνει διαφορετική ερώτηση από αυτή που σκοπεύατε.

Τέλος, η εφαρμογή πρέπει να μπορεί να χρησιμοποιήσει την απάντηση. Η επίλυση του ονόματος ενός εκτυπωτή δεν παρέχει πρόσβαση στη διεύθυνσή του, και δεν ανοίγει την υπηρεσία πίσω από αυτό. Η διεύθυνση που επιστρέφεται χρειάζεται ακόμη μια επιτρεπόμενη διαδρομή και μια πολιτική πρόσβασης που επιτρέπει τη σύνδεση. Ένα αρχείο resolver αλλάζει πού αναζητείται ένα όνομα· δεν κρατά διαδρομή για το αποτέλεσμα.

Επαληθεύστε την επιλογή αντί να αντικαταστήσετε το DNS

Ελέγξτε τι χρησιμοποιεί πραγματικά το macOS αυτή τη στιγμή, και ρωτήστε το πλήρως πιστοποιημένο όνομα μέσα από την ίδια την εφαρμογή ή από ένα εργαλείο που επιλύει όπως κάνουν οι εφαρμογές. Ένα άμεσο ερώτημα στη 192.168.55.1 αποδεικνύει ότι ο διακομιστής απαντά· δεν αποδεικνύει ότι το macOS επέλεξε αυτόν τον διακομιστή για συνηθισμένες αναζητήσεις. Αυτά είναι διαφορετικά γεγονότα, και μόνο το δεύτερο περιγράφει τι θα βιώσει το πρόγραμμα περιήγησής σας.

Αν ένας άλλος resolver διεκδικεί ήδη το ίδιο επίθημα, μάθετε σε ποιον ανήκει πριν προσθέσετε υποδείξεις προτεραιότητας. Η τεκμηριωμένη search_order ρύθμιση ταξινομεί πελάτες που μοιράζονται ένα domain· δεν είναι καθολικός διακόπτης προτίμησης που κάνει έναν γενικό resolver να κερδίζει κάθε ερώτημα.

Επιβεβαιώστε ότι τα ονόματα των εταιρειών επιλύονται ακόμη με συνδεδεμένο το VPN, και μετά καταγράψτε το αρχείο και τον σκοπό του στις τοπικές σημειώσεις σας. Όταν η διάταξη καταργηθεί, διαγράψτε μόνο αυτό το αρχείο και ελέγξτε ξανά και τους δύο χώρους ονομάτων αντί να επαναφέρετε όλες τις ρυθμίσεις DNS του δικτύου.