DNS zatitua OpenVPN bidez: zerk egin behar duen bideratze-domeinuak sistema eragile bakoitzean

DNS zatituaren eskaera bakoitza esaldi berarekin hasten da: enpresaren izenak enpresaren DNSra joaten dira, gainerako guztiak funtzionatzen jarraitzen du. Esaldi hori konfigurazio bihurtzeak hiru galdera erantzutea esan nahi du sistema eragile bakoitzeko, eta erantzunek mekanismo desberdinak erabiltzen dituzte bakoitzean. Linux eramangarri batean funtzionatzen duten profilek Windowsen huts egiten dute askotan tunelarekin zerikusirik ez duten arrazoiengatik. Tarte hori normalean hau da: resolverraren ezarpen bat bide batekin nahastuta.

Lehenik politika izendatu, gero hura adierazten duen plataformaren primitiboa aukeratu.

Nahasgarriak diren hiru ezarpen

Bilaketa-atxikizki batek izen laburra zabaltzen du: files idaztea files.corp.example bihurtzen da resolverrak atxikizkiak ordenan probatzen dituenean. Bideratze-domeinu batek aukeratzen du zein resolverrek erantzungo dien izen-espazio baten barruko kontsultei. IP-bide batek aukeratutako resolverra irisgarri egiten du soilik. Hiru horiek geruza desberdinetan bizi dira, eta bat bestearekin trukatzeak zuzena dirudien eta ezer konpontzen ez duen konfigurazioa sortzen du.

Nahasteak kostua du: bilaketa-atxikizki bat gehitzeak izen labur guztiak laneko resolverrera bidaltzen ditu, beste leku batera dagozkion izenak barne. Bideratze-domeinu bat aukeratzeak loturarik gabeko kontsultak tokiko resolverrean uzten ditu, eta aldi berean *.corp.example tunelaren bidez bidaltzen du.

Linux: bideratzeko soilik den domeinua, ez bilaketa-atxikizkia

systemd-resolved-en, tilderik aurretik duen domeinu bat soilik bideratzeko domeinua da, hau da, izen-espazio horretako kontsultak lotutako resolverrera joaten dira eta ez dira bilaketa-atxikizki ere bihurtzen. resolvectl domain tun0 '~corp.example' komandoak hori ezartzen du, eta resolvectl dns tun0 10.8.0.1 komandoak zerbitzariari izena ematen dio. Bi ezarpenak interfazearenak dira, beraz, harekin desagertzen dira. Tildea jendeak uzten duen zatia da, eta hura gabe izen laburrak laneko resolverraren bidez ebazten hasten dira.

Ez instalatu domeinu bera bilaketa-atxikizki global gisa ere. Bi ezarpenak ez dira soberan; batek bideratzen du eta besteak idatzi duzuna berridazten du.

Windowsek izen-espazioaren politika behar du, ez atxikizki bat

Windowsek DNS zatituaren politika izenen ebazpenaren politika-taulan gordetzen du, ez egokitzailearen DNS atxikizkian. Arau batek izen-espazio bat zerbitzari jakin batzuei esleitzen die: Add-DnsClientNrptRule -Namespace .corp.example -NameServers 10.8.0.1. Atxikizkia soilik ezartzeak izen laburren itxura aldatzen du; ez dio kontsultari beste zerbitzari batera bideratzen.

Egiaztatu indarrean dagoen politika Get-DnsClientNrptPolicy erabiliz konektatu ondoren, konexio aurreko arau bat tuneletik harago iraun baitezake. Kendu arauak izenez tunela erortzen denean, eta mantendu bistaratzen den izena egonkor garbiketak sarrera zuzena har dezan.

Mantendu resolverraren jabe bakarra plataforma bakoitzeko

Mahaigaineko kudeatzaile bat, OpenVPNren up script bat eta tokiko resolver daemon bat konfigurazio bera idazten saia daitezke. Ados ez daudenean, azkenak idatzi duenak irabazten du eta emaitza desmuntatzeko ordenaren araberakoa da. Aukeratu osagai bat resolverraren egoeraren jabe izateko, utzi besteei idatzi beharrean jakinarazten, eta probatu berriz konektatzea: politikak hura gainditu beharko luke arauak bikoiztu gabe. Deskonexioa ere probatu, geratzen den egoerak egiten baitu hurrengo konexioa desberdin jokatzea.

Beren resolver zifratua dakarten aplikazioek sistema eragilearen politika erabat ignoratzen dute. Hori aplikazioaren propietatea da, ez tunelaren akatsa.

Egiaztatu emaitza, ez profileko testua

Ebatzi tunelaren bidez joan behar duen izen bat eta joan behar ez duen beste bat, plataforma bakoitzean, eta egiaztatu zein zerbitzarik erantzun zuen. resolvectl query host.corp.example eta Resolve-DnsName host.corp.example biek erantzun zuen zerbitzaria jakinarazten dute. Errepikatu berriz konektatu ondoren. Ondoren egiaztatu tunelaren resolverra irisgarria dela profilek bultzatzen duen helbidean, zerbitzari irisgaitz batera seinalatzen duen politika zuzen batek huts egiten baitu politikarik ez izateak bezala.

Idatzi nahi den portaera profileko oharretan: zein atxikizki bideratzen den, zein zerbitzarik erantzuten dion eta gainerako guztiari zer gertatzen zaion. Hurrengo onartuko duzun plataformak esaldi hori beharko du, konfigurazio-fitxategia baino gehiago.