Los nombres de host VPN fallan, las direcciones IP funcionan: dónde mirar

Puede abrir el recurso compartido por dirección y el mismo recurso por nombre falla, lo que significa que el túnel transporta paquetes y la capa de nombres no. Esa sola observación ahorra un desvío por cambios de cortafuegos y de rutas. Los nombres necesitan un sufijo, un resolutor y una ruta para la consulta, y un cliente VPN puede instalar una ruta sin instalar ninguno de ellos. Recorra las cuatro comprobaciones siguientes en orden y deténgase en la primera que falle.

Un nombre hace una pregunta que una dirección no hace

Una dirección es un destino que la pila puede usar de inmediato. Un nombre corto es una pregunta que hay que ampliar con un sufijo, enviar a un resolutor y responder por algo que conozca la zona. Un túnel que instala rutas pero ningún resolutor deja lo primero funcionando y lo segundo roto. Por eso el síntoma parece tan consistente en productos VPN muy distintos.

Trabaje de la dirección hacia fuera: primero el nombre completo, luego el nombre de host desnudo, y anote cuál de los tres funciona. El patrón le dice qué capa inspeccionar antes de abrir una sola pantalla de configuración. Adivinar rutas cuando el FQDN se resuelve es esfuerzo perdido.

Lea el resolutor que el túnel instaló realmente

Pregunte al sistema operativo qué resolutor gestiona las consultas de la zona interna, no cuál anuncia la interfaz del cliente VPN. Un servidor que inserta un resolutor público sin zona interna produce exactamente esta falla, y es un error de configuración y no una avería de enrutamiento.

resolvectl status
nslookup fileserver.corp.example
nslookup fileserver

En un cliente Windows unido al dominio, la directiva de enrutamiento del espacio de nombres decide qué consultas van a qué resolutor, y los ajustes DNS propios del adaptador VPN aparecen en los detalles del adaptador. Lea la directiva efectiva y no el perfil, porque una directiva en caché puede sobrevivir a la conexión que la instaló. Si el resolutor responde al nombre completo y no al nombre corto, el problema ya se ha trasladado a la lista de sufijos.

Get-DnsClientNrptPolicy
ipconfig /all

Deténgase si la zona interna se resuelve a través del servidor correcto. El resolutor no es su problema.

Los sufijos explican los nombres cortos que fallan

Un nombre de una sola etiqueta se amplía con la lista de sufijos de la conexión antes de enviar la consulta. Si la VPN no entrega el sufijo interno, fileserver nunca se convierte en fileserver.corp.example, y la consulta sale como un nombre que ningún resolutor público conoce. Insertar el sufijo, o escribir el nombre completo, prueba la hipótesis sin cambiar nada en el servidor.

nslookup fileserver.corp.example
ping -a 192.168.50.20

En Linux el servicio de resolutor ata un servidor DNS a un enlace y a un conjunto de dominios de enrutamiento, así que un servidor insertado que no está asociado al enlace del túnel se comporta como si no estuviera. Compruebe el estado por enlace en lugar del archivo stub, que puede apuntar solo al resolutor local. La misma división aparece en el otro sentido: un dominio de búsqueda presente pero no aplicado a la interfaz del túnel produce fallos de nombre corto que parecen aleatorios.

Si añadir el sufijo lo arregla, el trabajo restante es entregar ese sufijo a través del perfil VPN en lugar de pedir a cada usuario que lo escriba.

NetBIOS y WINS son otro mecanismo

El SMB antiguo aún puede buscar un nombre desnudo con el servicio de nombres NetBIOS, que responde por difusión o a través de un servidor WINS. La difusión se queda dentro de un dominio de difusión y se detiene en el primer enrutador, así que no puede cruzar un túnel; WINS funciona porque el cliente tiene una dirección unicast con la que registrarse y a la que preguntar. Por eso una VPN que solo transporta IP aún puede admitir nombres antiguos cuando WINS está configurado y es accesible.

nbtstat -n
nbtstat -R

Para el SMB moderno, confíe en DNS y el nombre completo, y jubile la ruta antigua. Si de verdad es antigua, proporcione WINS o sustituya la aplicación; el término medio es una cola de soporte que nunca se vacía.

El recorrido termina cuando puede decir qué capa falló: resolutor, sufijo o descubrimiento antiguo. Anote el resolutor que respondió y la forma de nombre que funcionó, porque la siguiente persona empezará con el mismo síntoma.