macOS-i resolver-fail kohaliku domeeni jaoks VPN-i kõrval

Sinu töö-VPN lahendab ettevõtete nimesid ideaalselt, samal ajal kui kodus olev printer jääb nime järgi kättesaamatuks, ja tavaline lahendus, mille poole inimesed pöörduvad, on suunata kogu Mac kodusele ruuterile. See on palju suurem muudatus, kui probleem nõuab. macOS saab saata ühe DNS-järelliite oma serverisse väikese resolver-faili kaudu, jättes iga muu päringu täpselt sinna, kus see oli.

Lubade piir tuleb esimesena: see on mõeldud domeenile, mida haldad või mille seadistamiseks oled volitatud. See ei ole tee ümber organisatsiooni kehtestatud DNS-poliitika ega selle kohaliku võrgu piirangute.

Üks fail kitsa ülesandega

Oletame, et kohalik tsoon on lab.example.org ja selle server vastab aadressil 192.168.55.1. Macis, kus sul on lubatud muudatus teha, loob administraator lihtsa tekstifaili, mille nimi on domeen ise, /etc/resolver/lab.example.org, mis sisaldab ühte nameserver 192.168.55.1 rida. Kataloogi ei pruugi uues süsteemis olla, seega loo see administraatori õigustega ja vaata enne kirjutamist, kas haldustarkvara omab seal juba faili.

Apple'i resolveri konfiguratsioon dokumenteerib tava, et faili nimi annab domeeni, kui faili sees eraldi domeeni seadet ei esine. See nimetamise reegel on kogu nipp, ja seetõttu tuleb fail nimetada tsooni, mitte serveri järgi.

Kuidas macOS resolverite vahel valib

Aktiivne võib olla rohkem kui üks resolveri klient, ja võidab kõige täpsem sobiv domeen. Resolver lab.example.org jaoks on seetõttu teistsuguse ulatusega kui vaikeresisolver, ja täpsem alamdomeen oma failiga võib taas eesõiguse saada. See võimaldab töö-VPN-il oma järelliidet hoida, samal ajal kui sinu labori tsoon läheb mujale. Selles korralduses ei ole miski globaalne, ja seda tasub meeles pidada.

Jäta /etc/resolv.conf rahule. macOS kirjutab selle faili ise, ja see ei sisaldanud kunagi täielikku pilti domeenipõhisest lahendamisest. Konfiguratsioon võib tulla ka süsteemi konfiguratsiooniandmebaasist, mitte selle kataloogi failidest, mistõttu haldusprofiil võib sinu kirjutatu üle kirjutada.

Kolm asja, mida fail pakkuda ei saa

Server peab olema kättesaadav. Kui VPN blokeerib kohaliku võrgu või ettevõtte marsruut haarab serveri aadressivahemiku, ei saa täiesti korrektne järelliite fail ikkagi päringut kohale toimetada. Vii see võrgu omanikuni, selle asemel et ise kohalikke erandeid laiendada.

Tsoon peab hoidma õiget vastust, ja seda on kõige parem testida täielikult kvalifitseeritud nimega nagu printer.lab.example.org. Lühike nimi võib käivitada otsingudomeeni käitumise ja lõpuks esitada teistsuguse küsimuse, kui sa mõtlesid.

Lõpuks peab rakendus saama vastust kasutada. Printeri nime lahendamine ei anna juurdepääsu selle aadressile ega ava selle taga olevat teenust. Tagastatud aadress vajab endiselt lubatud marsruuti ja juurdepääsupoliitikat, mis ühenduse lubab. Resolver-fail muudab, kust nime otsitakse; see ei broneeri tulemusele teed.

Kontrolli valikut, mitte ei asenda DNS-i

Vaata, mida macOS praegu tegelikult kasutab, ja küsi täielikult kvalifitseeritud nime rakenduse enda seest või tööriistast, mis lahendab nii, nagu rakendused seda teevad. Otsepäring aadressile 192.168.55.1 tõestab, et server vastab; see ei tõesta, et macOS valis selle serveri tavaliste päringute jaoks. Need on erinevad faktid, ja ainult teine kirjeldab, mida sinu brauser kogeb.

Kui mõni teine resolver nõuab juba sama järelliidet, uuri välja, kellele see kuulub, enne kui lisad prioriteedivihjeid. Dokumenteeritud search_order seade järjestab kliente, kes jagavad domeeni; see ei ole globaalne eelistuslüliti, mis paneks üldise resolveri iga päringu võitma.

Kinnita, et ettevõtete nimed lahendatakse endiselt VPN-iga ühendatud olekus, seejärel kirjuta fail ja selle otstarve oma kohalikesse märkmetesse. Kui korraldus lõpetatakse, kustuta ainult see fail ja kontrolli mõlemat nimeruumi uuesti, selle asemel et lähtestada kõik võrgu DNS-seaded.