Tu dominio VPN en dnsmasq no es una transferencia de zona

Buscas la zona corporativa en la configuración de dnsmasq del cliente, no la encuentras y concluyes que la VPN no envió su dominio. Lo que se envió es una pista de enrutamiento, no una zona. El cliente registra el dominio y el resolutor que debe responder por él, y el backend gestionado lo convierte en reenvío condicional. Mirar en el lugar equivocado produce un diagnóstico seguro y completamente falso.

Lo que el cliente aceptó no es lo que la puerta de enlace ofreció

Una puerta de enlace puede ofrecer un resolutor, un dominio y la ruta necesaria para llegar a ese resolutor, y el cliente puede aceptar los tres o ninguno. Un perfil importado, un script auxiliar o una política que ignora las opciones enviadas pueden dejar vacío el conjunto aceptado mientras el lado del servidor parece correcto. Empieza por el estado registrado del cliente y no por la configuración del servidor, porque ese estado es lo que el resolutor recibe realmente. Si falta el dominio aceptado, nada posterior importará. Comprueba las propiedades DNS de la conexión antes de inspeccionar cualquier caché.

Esa distinción explica la mayoría de los informes de un dominio que nunca llegó. Se ofreció y no se aplicó.

Dos tipos de entrada de dominio

Una conexión puede llevar dominios de búsqueda ordinarios y dominios solo de enrutamiento, y el segundo tipo empieza por una tilde. Un dominio de búsqueda enruta las consultas y permite expandir nombres cortos, lo que resulta cómodo en una estación de trabajo y sorprendente en un servidor. Un dominio solo de enrutamiento indica que las consultas para ese sufijo deben ir a servidores concretos sin cambiar cómo se resuelven los nombres cortos. Escribir el mismo dominio de las dos formas no es redundancia, porque las dos entradas hacen trabajos distintos.

Para un espacio de nombres privado, la forma solo de enrutamiento suele ser la que quieres. Mantiene el sufijo corporativo apuntando al resolutor corporativo y deja todo lo demás en paz.

localhost en resolv.conf no es un error

Cuando se usa un resolutor local de caché, el archivo del sistema apunta a la dirección de loopback y a nada más. Esa entrada identifica al oyente local, no a los servidores ascendentes que el gestor le entregó. La dirección corporativa estará legítimamente ausente del archivo.

Sustituir esa entrada por un resolutor público es la corrección errónea clásica. Restaura la resolución pública de nombres y descarta la política condicional en la misma edición.

No confundas los backends

Una instancia gestionada de dnsmasq y un resolutor del sistema son programas distintos con configuración distinta y vistas de estado distintas. Una orden de estado para uno no dice nada útil sobre el otro.

Determina qué backend tiene configurado el gestor y luego lee la configuración generada de ese backend en lugar de un archivo de toda la distribución que casualmente exista. El gestor escribe su propia configuración de instancia y admite opciones personalizadas para esa instancia, así que editar un archivo global no relacionado no cambia nada y parece un cambio sin efecto. Iniciar un segundo demonio en el puerto 53 es peor que inútil, porque ahora dos programas no se ponen de acuerdo sobre quién es el dueño del puerto. Establece primero el propietario y luego edita donde ese propietario lee.

Prueba el espacio de nombres, no solo la respuesta

Consulta un nombre privado permitido y un nombre de control público por la ruta normal de la aplicación. Una consulta directa al servidor corporativo demuestra que el registro existe; no demuestra que el cliente haya elegido ese servidor. La segunda consulta es la que prueba la política.

Luego repítelo tras una reconexión y tras una desconexión. La asociación debe seguir el ciclo de vida de la conexión, y los nombres privados deben dejar de resolverse cuando el túnel desaparece, en lugar de recaer en un resolutor público que responde al mismo sufijo. Si recaen, has encontrado una fuga, que es un defecto distinto de una búsqueda rota. Anota qué backend se ejecutaba, qué dominios se aplicaron y qué devolvió cada consulta.