Ποιος σύνδεσμος απαντά: τομείς δρομολόγησης για DNS VPN διαχωρισμένης σήραγγας

Κρατήστε τη συνηθισμένη περιήγηση στον τοπικό σύνδεσμο, ενώ τα ονόματα της εταιρείας επιλύονται μέσω του διακομιστή DNS που παρέχει η σήραγγα. Η απενεργοποίηση της προεπιλεγμένης διαδρομής του VPN σας δίνει το πρώτο μισό και αφήνει το δεύτερο μισό ακατασκεύαστο. Ακολουθεί η ρύθμιση που λείπει, το σημείο στίξης που αλλάζει τη σημασία της και η μία εντολή που δείχνει ποιος σύνδεσμος απάντησε πραγματικά. Το NetworkManager και το systemd-resolved υποτίθενται σε όλο το κείμενο, γιατί αυτό το ζεύγος είναι εκεί όπου συνήθως αρχίζει η σύγχυση.

Βήμα πρώτο: χωρίστε τη διαδρομή από τον επιλυτή

Το ipv4.never-default απαντά σε ερώτημα δρομολόγησης, εμποδίζοντας το NetworkManager να εγκαταστήσει αυτή τη σύνδεση ως διαδρομή για όλη την κίνηση IPv4. Ένας τομέας δρομολόγησης DNS απαντά σε άλλο ερώτημα: ποιοι διακομιστές ονομάτων ποιου συνδέσμου λαμβάνουν ερώτημα για αντίστοιχο επίθεμα. Κανένα δεν συνεπάγεται το άλλο, και ένα προφίλ μπορεί να φέρει το ένα για χρόνια ενώ λείπει το άλλο. Μόνο διαδρομή σημαίνει ότι η σήραγγα μεταφέρει τα υποδίκτυα της εταιρείας και ο επιλυτής της απαντά στα ονόματα της εταιρείας, ενώ όλα τα άλλα μένουν ανέγγιχτα.

Ορίστε μόνο την ιδιότητα διαδρομής και τα εσωτερικά ονόματα αποτυγχάνουν, συνήθως με λήξη χρόνου που ακούγεται σαν χαλασμένη σήραγγα. Ορίστε μόνο τον τομέα και έχετε προσθέσει σιωπηλά ένα επίθεμα αναζήτησης σε κάθε σύντομο όνομα του μηχανήματος. Και τα δύο λάθη στέλνουν το δελτίο στον διακομιστή VPN, ο οποίος σπάνια είναι το κομμάτι που είναι λάθος.

Βήμα δεύτερο: προσθέστε έναν τομέα μόνο δρομολόγησης στο προφίλ

Υποθέστε ότι η σύνδεση ονομάζεται corp-vpn, το επίθεμα της εταιρείας είναι internal.example και ο επιλυτής της σήραγγας είναι ήδη προσβάσιμος. Διαβάστε πρώτα τις τρέχουσες τιμές, γιατί οι εντολές παρακάτω αλλάζουν ιδιότητες που μπορεί να έχουν ήδη καταχωρίσεις.

nmcli connection show corp-vpn | grep -E 'dns-search|never-default'
nmcli connection modify corp-vpn +ipv4.dns-search '~internal.example'
nmcli connection modify corp-vpn ipv4.never-default yes

Αντικαταστήστε με το δικό σας όνομα σύνδεσης και επίθεμα, γιατί οι παραπάνω τιμές είναι ενδεικτικές. Το σύμβολο συν έχει μεγαλύτερη σημασία απ’ ό,τι φαίνεται: με αυτό η τιμή προσαρτάται στην υπάρχουσα λίστα, ενώ χωρίς αυτό η ιδιότητα αντικαθίσταται και άσχετοι τομείς εξαφανίζονται από προφίλ που δούλευε χθες. Η περισπωμένη αλλάζει συμπεριφορά και όχι στυλ, και η παράγραφος παρακάτω καλύπτει τι επιλέγει. Κρατήστε την ανάγνωση πριν από την εγγραφή, ώστε η μορφή αντικατάστασης να μη σας εκπλήξει ποτέ.

Μια περισπωμένη στην αρχή σηματοδοτεί τομέα μόνο δρομολόγησης, οπότε τα αντίστοιχα ερωτήματα πηγαίνουν στους διακομιστές αυτού του συνδέσμου και το επίθεμα δεν προσαρτάται στα σύντομα ονόματα. Αφαιρέστε την περισπωμένη και το ίδιο κείμενο γίνεται και επίθεμα αναζήτησης, που είναι διαφορετικό αποτέλεσμα και σπάνια το σκοπεύουν οι άνθρωποι. Και οι δύο ρυθμίσεις παραπάνω είναι IPv4, άρα ένα προφίλ διπλής στοίβας χρειάζεται ipv6.never-default και τον ίδιο τομέα δρομολόγησης στο ipv6.dns-search, αλλιώς η πλευρά IPv6 συνεχίζει να χρησιμοποιεί την προεπιλεγμένη διαδρομή και τα εσωτερικά ονόματα αποτυγχάνουν εκεί.

Βήμα τρίτο: ρωτήστε το resolvectl ποιος σύνδεσμος απάντησε

Εκτελέστε resolvectl status και διαβάστε τους διακομιστές DNS και τους τομείς κάθε συνδέσμου, μετά εκτελέστε resolvectl query host.internal.example σε ένα πραγματικό εσωτερικό όνομα που επιτρέπεται να ερωτάτε. Η δεύτερη εντολή είναι η μόνη άμεση απόδειξη ότι ο τομέας δρομολόγησης κάνει τη δουλειά του, γιατί ονομάζει τον σύνδεσμο που απάντησε. Μια λίστα κατάστασης μόνη της αποδεικνύει τη διαμόρφωση· το ερώτημα αποδεικνύει την επίλυση.

Το systemd-resolved επιλέγει τον τομέα δρομολόγησης με την καλύτερη αντιστοίχιση, οπότε ένας πιο συγκεκριμένος τομέας σε άλλο σύνδεσμο μπορεί να κερδίσει ακόμη την κούρσα. Αν το ερώτημα επιστρέψει από σύνδεσμο που δεν περιμένατε, διαβάστε τις λίστες τομέων πριν αγγίξετε τον διακομιστή DNS του VPN. Ένας ριζικός τομέας ~. ταιριάζει με όλα, και αν υπάρχει ήδη, ο συγκεκριμένος τομέας σας κερδίζει για τα δικά του ονόματα ενώ ο σύνδεσμος απαντά σε πολύ περισσότερα απ’ όσα ζητήσατε. Αφαιρέστε ή περιορίστε αυτή την καταχώριση ρίζας όταν η πρόθεση ήταν μόνο ονόματα της εταιρείας.

Αν ο σύνδεσμος VPN δεν αναφέρει καθόλου διακομιστή DNS, ο πελάτης δεν κατέγραψε ποτέ κανέναν. Ένας τομέας δρομολόγησης χωρίς διακομιστή πίσω του αποτυγχάνει διαφορετικά από έναν τομέα που λείπει, άρα διορθώστε πρώτα την καταχώριση.

Βήμα τέταρτο: όταν το όνομα επιλύεται αλλά η υπηρεσία όχι

Μια σωστή απάντηση αποδεικνύει μόνο ότι η επίλυση δούλεψε, και η εφαρμογή χρειάζεται ακόμη διαδρομή προς τη διεύθυνση που έλαβε. Αυτή η διαδρομή πρέπει να επιβιώσει από την προεπιλεγμένη διαδρομή που μόλις διαμορφώσατε, άρα ελέγξτε την πριν κατηγορήσετε ξανά το DNS. Μετά ελέγξτε την προσβασιμότητα στη θύρα της υπηρεσίας, γιατί ένας κοινόχρηστος φάκελος ή μια υπηρεσία καταλόγου αποτυγχάνει στην επίλυση, τη δρομολόγηση ή την ταυτοποίηση και παράγει πολύ παρόμοια μηνύματα σε κάθε περίπτωση. Κρατήστε αυτά τα τρία επίπεδα χωριστά όταν αναφέρετε το αποτέλεσμα, αλλιώς ο επόμενος άνθρωπος ξαναελέγχει DNS που ήταν ήδη σωστό.

Η αλλαγή στο Samba που κυκλοφορεί μαζί με αυτό το ερώτημα αφορά το επίπεδο πρόσβασης, όχι την επιλογή DNS. Το να την εφαρμόσετε σε βλάβη επίλυσης ονομάτων είναι ο τρόπος με τον οποίο ένα μικρό πρόβλημα αποκτά δεύτερο.

Βήμα πέμπτο: μην αντικαταστήσετε τον επιλυτή για να διορθώσετε έναν τομέα που λείπει

Η συμβουλή που αντικαθιστά το αρχείο του επιλυτή ή εγκαθιστά άλλο διαχειριστή επιλυτή λύνει άλλο πρόβλημα. Αυτές είναι αλλαγές ενσωμάτωσης συστήματος με δικούς τους τρόπους αποτυχίας, και καμία δεν προσθέτει τομέα δρομολόγησης που δεν διαμορφώθηκε ποτέ. Καθορίστε ποιο στοιχείο κατέχει την επίλυση ονομάτων στο μηχάνημα πριν το αντικαταστήσετε, γιατί σε επιφάνεια εργασίας με NetworkManager και systemd-resolved αυτή η κυριότητα είναι ήδη καθορισμένη. Το να παλεύετε μαζί της είναι ο τρόπος με τον οποίο μια λειτουργική εγκατάσταση γίνεται κάτι που κανείς δεν μπορεί να αναπαράγει.

Σειρά εργασίας: επιβεβαιώστε ότι η σήραγγα παρέχει επιλυτή, προσθέστε τον τομέα μόνο δρομολόγησης, επανασυνδεθείτε μέσω των χειριστηρίων του προφίλ, επαληθεύστε τον σύνδεσμο που απαντά και μετά δοκιμάστε την υπηρεσία στη θύρα της. Αυτή η ακολουθία αφήνει ένα αποτέλεσμα που μπορείτε να παραδώσετε στον επόμενο άνθρωπο χωρίς δεύτερη συζήτηση.