mDNS VPN baten barruan: zergatik ez diren .local izenak ebazten
Bideratutako VPN batek unicast paketeak garraiatzen ditu, ez estekako multicast lokala. Egiaztatu zer ebazten den, zergatik ez den kontsulta inoiz iristen eta zein izendatze-diseinuk funtzionatzen duen benetan.
Zure bulegoko inprimagailua zure mahaiko aplikazio guztietan agertzen da eta VPN-an desagertzen da, badakizun helbidea pingatu dezakezun arren. Tunelaren barruan ez dago ezer apurtuta: aurkikuntza eta irisgarritasuna zerbitzu bereiziak dira, eta haietako batek soilik zeharkatzen du bideratutako tunel bat lehenespenez. Beheko egiaztapenek biak bereizten dituzte bideak gehitzen hasi aurretik. Bide batek ezin du esteka inoiz utzi ez zuen kontsulta bat konpondu.
Egiaztatu zer ebazten den gaur eta zer soilik ematen duen ebatzita
Bereizi lehenengo bi galderak: ostalari-izen baten unicast kontsultak ebazleari galdetzen dio, _ipp._tcp bilaketak berriz esteka lokalari. Linuxen, avahi-browse -a-ek erakusten du multicast DNSk zer ikus dezakeen, eta resolvectl query name.local-ek ebazle-pilak izen horrekin zer egiten duen. macOSen, dns-sd -B _ipp._tcp-ek aurkitutako zerbitzuak zerrendatzen ditu aurretik helbiderik behar gabe.
Helbideak erantzuten badu eta izenak ez, bideratzeak funtzionatzen du eta aurkikuntzak ez. .local izen bati ostalariaren beraren gainean ere erantzun dakioke nss-mdns bidez avahi-browse instalatuta egon gabe, beraz izen horri egindako getent edo ping arrakastatsua ez da aurkikuntzak tunela zeharkatu duen froga; bilaketaren emaitza eta ebazlearen emaitza froga desberdinak dira. Aplikazioek aurkitutakoa cachean gordetzen dute, eta horregatik hutsak konektatu eta ordu batzuk geroago agertzen dira maiz, konektatzean bertan beharrean. Itxi eta berriz ireki aplikazioa, eta gero egiaztatu cachean dagoen sarrera izen bat edo helbide bat den, helbide bat aurkikuntza gelditu zenetik askoz geroago ere funtzionatzen baitu.
Zergatik ez duen kontsultak inoiz tunela zeharkatzen
Multicast DNSk 224.0.0.251ra bidaltzen ditu kontsultak, sare lokalaren kontrol-blokearen barruan, UDP 5353 portuan. Bideratzaileek ez dituzte bloke horretako helbideak birbidaltzen, beraz kontsulta bidali zen estekan geratzen da. Igorleek IP TTL-a, edo IPv6 jauzi-muga, 255ean ezartzen dute, hartzaileak bideratzaile bat jadanik zeharkatu duen paketea baztertu ahal izan dezan; horrela detektatzen du protokoloak estekak kanpoko faltsutzea, ez horrela geratzen da lokal. Lokaltasuna helburuko helbidetik dator, ez jauzi bakarreko TTL-etik.
Tunel motak ere badu garrantzia. tun estiloko interfaze batek IP paketeak daramatza eta besterik ez, beraz multicast talde batek ere ez du bizirik irauten. tap estiloko zubi batek difusio-domeinua bera zabaltzen du, eta horregatik antzinako diseinu batzuek bideratu beharrean zubia egin zuten, eta zubiak dakartzan arazo guztiak heredatu zituzten.
LAN fidagarrirako salbuespenak ez du horretatik ezer aldatzen, tunela erabil dezakeen trafikoa erabakitzen baitu, tunelari multicast birbidaltzen irakatsi beharrean. Paketeak oraindik ez du entzun ahal izateko segmentu partekaturik.
Aukeratu mantendu dezakezun izendatze-diseinu bat
Enpresaren baliabideetarako, erantzun iraunkorra VPNak bultzatzen duen ebazleak zerbitzatutako ostalari-izen bideratua da, DNS bananduarekin, barne-izenak barne-zerbitzarietara joan daitezen eta beste guztia ez. Windowsek izen-ebazpeneko politika-taula gisa erakusten du, macOSek interfaze bakoitzeko ebazle mugatuak erabiltzen ditu, eta bezero gehienek bultzatzeko ezarpen baliokidea dute. Gailuak bere ohiko izena mantentzen du barne DNSn, eta aurkikuntza bidearen parte izateari uzten dio.
Aurkikuntza-proxi batek edo mDNS islatzaile batek hutsune hori zubitu dezake, eta benetako diseinua da, bere ostalaria, bere esposizioa eta bere bezero-baldintzak dituena. Ez da agertzen bide bat gehitu duzulako. Inoiz ez birbidali .local kontsultak ebazle publiko batera: domeinua tokiko multicast erabilerarako dago gordeta RFC 6762 arauaren arabera, eta kanpora bidaltzeak huts motelak eta beharrezkoak ez diren datu-agerpenak sortzen ditu.
Egiaztatu zerbitzua, ez izena
Bilaketa-zerrendako izen batek aurkikuntzako urratsa frogatzen du, ez zerbitzuak erantzuten duenik. Ireki inprimatzeko ilara edo web interfazea eta burutu benetako eragiketa bat, eta errepikatu berriz konektatu ondoren.
Aurkikuntzak izenak oldarkorki gordetzen ditu cachean, beraz sarrera zaharkitu bat arrakasta balitz bezala ager daiteke. Ziurtagiri edo autentifikazio-eskaera bat agertzen bada, hurrengo geruza da eta arazo bereizia. Idatzi zein mekanismo aldatu duzun, ebazlea edo aurkikuntza, hurrengo pertsonak galdera osoa berriz ez irekitzeko.