Teie VPN domeen dnsmasqis ei ole tsooni ülekanne

Otsite ettevõtte tsooni kliendi dnsmasqi konfiguratsioonist, ei leia seda ja järeldate, et VPN ei saatnud oma domeeni edasi. See, mis edasi saadeti, on marsruutimise vihje, mitte tsoon. Klient salvestab domeeni ja resolveri, kes peaks selle eest vastama, ning haldatav backend muudab selle tingimuslikuks edasisaatmiseks. Vale koha uurimine annab enesekindla ja täiesti vale diagnoosi.

See, mida klient aktsepteeris, ei ole see, mida lüüs pakkus

Lüüs võib pakkuda resolverit, domeeni ja marsruudi, mis on vajalik selle resolverini jõudmiseks, ning klient võib aktsepteerida kõiki kolme või mitte ühtegi neist. Imporditud profiil, abiskript või poliitika, mis eirab edasisaadetud valikuid, võib jätta aktsepteeritud komplekti tühjaks, samal ajal kui serveripool näeb välja korrektne. Alustage kliendi salvestatud olekust, mitte serveri konfiguratsioonist, sest just selle oleku resolver tegelikult saab. Kui aktsepteeritud domeen puudub, ei oma miski edasine enam tähtsust. Enne vahemälu uurimist kontrollige ühenduse DNS-omadusi.

See erinevus selgitab enamikku teateid domeeni kohta, mis kunagi ei saabunud. Seda pakuti ja seda ei rakendatud.

Kahte tüüpi domeenikirjed

Ühendus võib kanda tavalisi otsingudomeene ja ainult marsruutimise domeene, ning teine tüüp algab tildemärgiga. Otsingudomeen nii suunab päringuid kui ka lubab lühikesi nimesid laiendada, mis on tööjaamas mugav ja serveris üllatav. Ainult marsruutimise domeen ütleb, et selle sufiksi päringud peaksid minema kindlatele serveritele, muutmata seda, kuidas lühikesed nimed lahendatakse. Sama domeeni mõlemal viisil kirjutamine ei ole liiasus, sest kaks kirjet teevad erinevat tööd.

Privaatse nimeruumi jaoks on tavaliselt see, mida soovite, ainult marsruutimise vorm. See hoiab ettevõtte sufiksi suunatud ettevõtte resolverile ja jätab kõik muu rahule.

localhost resolv.confis ei ole viga

Kui kasutatakse kohalikku vahemälu resolverit, osutab süsteemifail loopback-aadressile ja mitte millelegi muule. See kirje tähistab kohalikku kuulajat, mitte ülemvõrgu servereid, mille haldur sellele andis. Ettevõtte aadress puudub failist õigustatult.

Selle kirje asendamine avaliku resolveriga on klassikaline vale parandus. See taastab avaliku nimelahenduse ja heidab samas muudatuses kõrvale tingimusliku poliitika.

Ärge ajage backendid segi

Haldatav dnsmasqi eksemplar ja süsteemi resolver on erinevad programmid, millel on erinev konfiguratsioon ja erinevad olekuvaated. Ühe olekukäsk ei ütle teise kohta midagi kasulikku.

Tehke kindlaks, millist backendit haldur kasutama on seadistatud, ja lugege seejärel selle backendi genereeritud konfiguratsiooni, mitte kogu distributsiooni faili, mis juhtumisi olemas on. Haldur kirjutab oma eksemplari konfiguratsiooni ja toetab selle eksemplari jaoks kohandatud valikuid, nii et mitteseotud globaalse faili muutmine ei muuda midagi ja näeb välja nagu muudatus ilma mõjuta. Teise deemoni käivitamine pordil 53 on hullem kui kasutu, sest nüüd ei ole kaks programmi ühel meelel, kellele port kuulub. Tehke esmalt kindlaks omanik, seejärel muutke seal, kus see omanik loeb.

Testige nimeruumi, mitte ainult vastust

Küsige ühte lubatud privaatset nime ja ühte avalikku kontrollnime rakenduse tavalisel teel. Otsene päring ettevõtte serverile tõestab, et kirje on olemas; see ei tõesta, et klient valis selle serveri. Teine päring on see, mis testib poliitikat.

Seejärel korrake pärast uuesti ühendamist ja pärast lahtiühendamist. Seos peaks järgima ühenduse elutsüklit ning privaatsed nimed peaksid lõpetama lahendamise, kui tunnel on kadunud, selle asemel et langeda tagasi avalikule resolverile, mis vastab samale sufiksile. Kui need siiski tagasi langevad, olete leidnud lekke, mis on teistsugune defekt kui katkine otsing. Kirjutage üles, milline backend töötas, millised domeenid rakendati ja mida iga päring tagastas.