El túnel está activo, pero ¿por qué sigue fallando el nombre privado?

Todo en la conexión parece correcto: el túnel está activo y la consola muestra el extremo privado, pero cada solicitud falla en la resolución de nombres. El movimiento natural es culpar al túnel, que normalmente resulta inocente. La consulta se envía a un servidor que no sabe nada de la zona privada. Ningún cambio de enrutamiento alterará esa respuesta, porque el problema es a quién se preguntó.

¿Qué resolver recibió la consulta?

Encuentre el resolver asociado a cada enlace antes de mirar el túnel. Linux expone servidores por enlace mediante el comando de estado del resolver, y macOS muestra resolvers con ámbito en su volcado de configuración DNS. Si la respuesta sigue viniendo del router de casa, el enlace del túnel nunca se consultó.

resolvectl status
scutil --dns | head -40
dig +short internal.example.com

Aquí se confunden dos etapas: un servidor que empuja una dirección de resolver y un cliente que la instala en el enlace activo. Un perfil puede contener la opción y un registro puede mostrar que llega, mientras el sistema operativo sigue usando el servidor antiguo. Compare el registro con lo que informa el enlace y confíe en el enlace.

Use una dirección a la que la red de la nube responda de verdad

Las redes de la nube suelen responder a nombres privados mediante una dirección reservada desplazada dos posiciones desde la base del rango, así que una red que empieza en 10.0.0.0 responde en 10.0.0.2. Algunos proveedores también publican un resolver local de enlace que funciona sin conocer el rango, lo que ayuda cuando la red la construyó otra persona. Consulte la dirección candidata directamente antes de pasársela a nadie. Una dirección que no es un resolver se parece exactamente a un descarte del cortafuegos, porque la consulta simplemente nunca recibe respuesta.

Si la consulta directa responde desde dentro de la red pero no a través del túnel, el resolver está bien y el camino entre los dos puntos no. Ese resultado traslada la investigación a rutas, reenvío y reglas de acceso en lugar del perfil del cliente.

Un túnel no transporta el espacio de nombres

Los paquetes cruzan; los nombres no. Hay que decir a cada lado qué espacio de nombres pertenece al otro, y eso es un objeto separado que posee quien tiene la zona. La forma habitual es un reenvío para un espacio de nombres, apuntado a un resolver accesible por el túnel.

En la práctica, cada dirección necesita su propia regla, porque el lado que posee la zona es el que debe enviar la consulta. Ambas direcciones necesitan que el origen de la consulta esté enrutado y permitido, y el lado que responde debe devolver las respuestas por el túnel en lugar de hacia internet. Mantenga el reenvío estrecho, de modo que solo el espacio de nombres privado dependa del enlace. Enviar cada consulta a través de él convierte una dependencia pequeña en una caída total en el momento en que el túnel cae.

Recorra las fronteras en orden

Pruebe el resolver instalado en el enlace activo, luego una consulta directa a ese resolver, luego la misma consulta desde el lado lejano y por último la aplicación que usa el mismo nombre. Cada paso aísla una frontera, así que un fallo le dice dónde mirar en lugar de reiniciar la investigación. Una respuesta que funciona mientras la aplicación falla apunta a la confianza del certificado o a una política de API en lugar de DNS. Esas fallas son reales y ningún cambio de resolver las reparará.

Anote qué paso falló. Esa única línea es lo que necesita la siguiente persona, y registrarla lleva diez segundos.

Mantenga la cadena donde la siguiente persona pueda encontrarla

Registre el resolver empujado, la regla de reenvío, el origen de consulta permitido y el extremo que responde en un solo lugar. Cuando el nombre privado vuelva a fallar, el registro muestra si el túnel se movió, si la dirección del resolver cambió o si se estrechó una regla. Sin él, cada incidente empieza de cero y termina con las mismas tres conjeturas.

Mantenga el registro lo bastante corto para seguir siendo exacto: cuatro líneas, una fecha y el nombre de quien posee cada parte. Un registro antiguo es peor que ninguno, porque parece autoritativo mientras está equivocado.