Τα ονόματα κεντρικών υπολογιστών VPN αποτυγχάνουν, οι διευθύνσεις IP λειτουργούν: πού να κοιτάξετε

Η πρόσβαση μέσω IP λειτουργεί ενώ τα ονόματα αποτυγχάνουν, κάτι που δείχνει σε επιθήματα και σε επιβαλλόμενους μετατροπείς, όχι σε διαδρομές. Περάστε από τη διεύθυνση, το FQDN, το σύντομο όνομα και την παλιά διαδρομή.

Μπορείτε να ανοίξετε τον κοινόχρηστο πόρο με τη διεύθυνση, και ο ίδιος πόρος με το όνομα αποτυγχάνει, που σημαίνει ότι η σήραγγα μεταφέρει πακέτα και το επίπεδο ονομάτων όχι. Αυτή η μία παρατήρηση γλιτώνει μια παράκαμψη μέσα από αλλαγές τείχους προστασίας και διαδρομών. Τα ονόματα χρειάζονται ένα επίθημα, έναν μετατροπέα και μια διαδρομή για το ερώτημα, και ένας πελάτης VPN μπορεί να εγκαταστήσει μια διαδρομή χωρίς να εγκαταστήσει κανένα από αυτά. Περάστε τους τέσσερις ελέγχους παρακάτω με τη σειρά και σταματήστε στον πρώτο που σπάει.

Ένα όνομα θέτει ένα ερώτημα που μια διεύθυνση δεν θέτει

Μια διεύθυνση είναι ένας προορισμός που η στοίβα μπορεί να χρησιμοποιήσει αμέσως. Ένα σύντομο όνομα είναι ένα ερώτημα που πρέπει να επεκταθεί με ένα επίθημα, να σταλεί σε έναν μετατροπέα και να απαντηθεί από κάτι που γνωρίζει τη ζώνη. Μια σήραγγα που εγκαθιστά διαδρομές αλλά κανέναν μετατροπέα αφήνει το πρώτο να λειτουργεί και το δεύτερο σπασμένο. Γι’ αυτό το σύμπτωμα φαίνεται τόσο σταθερό σε πολύ διαφορετικά προϊόντα VPN.

Δουλέψτε προς τα έξω από τη διεύθυνση: πρώτα το πλήρες όνομα, μετά το γυμνό όνομα κεντρικού υπολογιστή, και σημειώστε ποιο από τα τρία λειτουργεί. Το μοτίβο σας λέει ποιο επίπεδο να εξετάσετε πριν ανοίξετε μία και μόνη οθόνη ρυθμίσεων. Το να μαντεύετε διαδρομές όταν το FQDN επιλύεται είναι χαμένος κόπος.

Διαβάστε τον μετατροπέα που εγκατέστησε στην πραγματικότητα η σήραγγα

Ρωτήστε το λειτουργικό σύστημα ποιος μετατροπέας χειρίζεται τα ερωτήματα για την εσωτερική ζώνη, όχι ποιον διαφημίζει η διασύνδεση του πελάτη VPN. Ένας διακομιστής που επιβάλλει δημόσιο μετατροπέα χωρίς εσωτερική ζώνη παράγει ακριβώς αυτή την αποτυχία, και είναι σφάλμα ρύθμισης και όχι βλάβη δρομολόγησης.

resolvectl status
nslookup fileserver.corp.example
nslookup fileserver

Σε πελάτη Windows ενταγμένο σε τομέα, η πολιτική δρομολόγησης του χώρου ονομάτων αποφασίζει ποια ερωτήματα πηγαίνουν σε ποιον μετατροπέα, και οι δικές του ρυθμίσεις DNS του προσαρμογέα VPN εμφανίζονται στις λεπτομέρειες του προσαρμογέα. Διαβάστε την ενεργή πολιτική και όχι το προφίλ, γιατί μια πολιτική σε προσωρινή μνήμη μπορεί να επιζήσει της σύνδεσης που την εγκατέστησε. Αν ο μετατροπέας απαντά στο πλήρες όνομα και όχι στο σύντομο, το πρόβλημα έχει ήδη μετακινηθεί στη λίστα επιθημάτων.

Get-DnsClientNrptPolicy
ipconfig /all

Σταματήστε αν η εσωτερική ζώνη επιλύεται μέσω του σωστού διακομιστή. Ο μετατροπέας δεν είναι το πρόβλημά σας.

Τα επιθήματα εξηγούν τα σύντομα ονόματα που αποτυγχάνουν

Ένα όνομα με μία ετικέτα επεκτείνεται με τη λίστα επιθημάτων της σύνδεσης πριν σταλεί το ερώτημα. Αν το VPN δεν παραδώσει το εσωτερικό επίθημα, το fileserver δεν γίνεται ποτέ fileserver.corp.example, και το ερώτημα βγαίνει ως όνομα που κανένας δημόσιος μετατροπέας δεν γνωρίζει. Η επιβολή του επιθήματος, ή η πληκτρολόγηση του πλήρους ονόματος, ελέγχει την υπόθεση χωρίς να αλλάξει τίποτα στον διακομιστή.

nslookup fileserver.corp.example
ping -a 192.168.50.20

Στο Linux η υπηρεσία μετατροπέα δένει έναν διακομιστή DNS με έναν σύνδεσμο και ένα σύνολο τομέων δρομολόγησης, οπότε ένας επιβαλλόμενος διακομιστής που δεν σχετίζεται με τον σύνδεσμο της σήραγγας συμπεριφέρεται σαν να μην υπάρχει. Ελέγξτε την κατάσταση ανά σύνδεσμο και όχι το αρχείο stub, που μπορεί να δείχνει μόνο στον τοπικό μετατροπέα. Η ίδια διάσπαση εμφανίζεται και προς την άλλη κατεύθυνση: ένας τομέας αναζήτησης που υπάρχει αλλά δεν εφαρμόζεται στη διασύνδεση της σήραγγας παράγει αποτυχίες σύντομων ονομάτων που φαίνονται τυχαίες.

Αν η προσθήκη του επιθήματος το διορθώσει, η υπόλοιπη δουλειά είναι να παραδώσετε αυτό το επίθημα μέσω του προφίλ VPN αντί να ζητάτε από κάθε χρήστη να το πληκτρολογεί.

Τα NetBIOS και WINS είναι διαφορετικός μηχανισμός

Το παλιό SMB μπορεί ακόμα να αναζητήσει ένα γυμνό όνομα με την υπηρεσία ονομάτων NetBIOS, που απαντά με μετάδοση ή μέσω διακομιστή WINS. Η μετάδοση μένει μέσα σε έναν τομέα μετάδοσης και σταματά στον πρώτο δρομολογητή, άρα δεν μπορεί να φτάσει απέναντι από μια σήραγγα, ενώ το WINS λειτουργεί γιατί ο πελάτης έχει μια διεύθυνση μονοεκπομπής για να εγγραφεί και να ρωτήσει. Γι’ αυτό ένα VPN που μεταφέρει μόνο IP μπορεί ακόμα να υποστηρίζει παλιά ονόματα όταν το WINS είναι ρυθμισμένο και προσβάσιμο.

nbtstat -n
nbtstat -R

Για το σύγχρονο SMB, βασιστείτε στο DNS και στο πλήρες όνομα και συνταξιοδοτήστε την παλιά διαδρομή. Αν είναι πραγματικά παλιά, παρέχετε WINS ή αντικαταστήστε την εφαρμογή, και η μέση λύση είναι μια ουρά υποστήριξης που δεν αδειάζει ποτέ.

Η περιήγηση τελειώνει όταν μπορείτε να πείτε ποιο επίπεδο απέτυχε: μετατροπέας, επίθημα ή παλιά ανακάλυψη. Καταγράψτε τον μετατροπέα που απάντησε και τη μορφή ονόματος που λειτούργησε, γιατί ο επόμενος άνθρωπος θα ξεκινήσει από το ίδιο σύμπτωμα.

Σχετικά άρθρα