VPN konektatuta, baina izenek huts egiten dute: non hausten da DNS benetan

Tunela martxan, ikonoa berdea, eta nabigatzaileko fitxa bakoitzak izen-ebazpenaren hutsa salatzen du. Hiru mekanismo desberdinek sortzen dute irudi hori: resolverra eskuragarri ez egotea gerta daiteke, bezeroa espero ez zenuen resolver bati galdetzen egotea, edo izen pribatuek bakarrik huts egitea. Bereizi itzazu tunelaren protokoloan ezer aldatu aurretik, bakoitza leku desberdin batean konpontzen baita. Beheko ordenak hirurak bereizten dituzten behaketekin hasten da.

Zer behar du benetan bilaketa batek

Bilaketa batek hiru gauza behar ditu: resolver helbide bat, helbide horretarako ibilbide bat eta galderarekin bat datorren erantzun bat. Bakoitzak bere kabuz huts egin dezake, eta ikusgai dagoen sintoma kargatzen ez den orrialde bera da. Horregatik errore-orrialdeak ia ezer ez dizu esaten hiruretatik zein hautsi den jakin arte.

Bezeroak bere resolverra VPN profiletik, tuneleko DHCPtik edo bere konfiguraziotik ikasten du, eta zein iturrik irabazten duen plataformaren araberakoa da. Windowsen, ipconfig /all komandoak DNS zerbitzariak adapter bakoitzeko zerrendatzen ditu, beraz bidalitako balioa benetan iritsi den ikus dezakezu. Sekula sistema eragilera iritsi ez zen bidalitako balio bat hutsegite isila eta ohikoa da. Irakurri konfiguratutako balioa profila ukitu aurretik.

Linuxek eta macOSek galdera berari komando desberdinekin erantzuten diote, eta erantzunak irakurketa bera merezi du: resolvectl status eta scutil --dns biek zerbitzariak interfaze bakoitzeko zerrendatzen dituzte. Alderatu zerrenda hori profileak bidaltzen duela dioen helbidearekin. Hemen dagoen desadostasunak beherako guztia azaltzen du, beraz konpondu ezazu izenak probatu aurretik.

Probatu izen publiko bat eta pribatu bat

Galdetu ohiko host-izen publiko bat eta dokumentatutako host-izen pribatua makinatik bertatik, eta idatzi zein zerbitzarik erantzun zion bakoitzari. Biak huts egiten badute, resolverra edo haren ibilbidea hautsi da. Izen pribatuak bakarrik huts egiten badu, resolverrak erantzun du eta galdera zona edo bideratzea bihurtzen da. Exekutatu bi kontsultak elkarren artean minutu bateko tartean, ibilbide-aldaketa batek aldea azal ez dezan.

Eduki izen pribatuak pantaila-kaptura publikoetatik eta resolver publikoetatik kanpo. Denbora-muga bat eta existitzen ez den domeinu baten erantzuna behaketa desberdinak dira: lehenak ezer ez zela itzuli dio, bigarrenak autoritate batek izena ez dela existitzen erantzun zuela. Biak errore bakartzat hartzeak geruza okerrean jartzen zaitu, eta ziurtagiri-abisu bat hirugarren gauza bat da berriz, ez DNS hutsegitea.

nslookup komandoak galdetu zion zerbitzaria eta jaso zuen erantzuna inprimatzen ditu, eta horixe da behar duzun bikotea. Exekutatu bi aldiz shell berean eta idatzi erantzun duen helbidea erantzun bakoitzaren ondoan.

nslookup example.com
nslookup host.corp.example 10.20.30.53

Egiaztatu bezeroak zerbitzari horretara benetan irits daitekeela

Profileak bidalitako resolver pribatu bat soilik da erabilgarria bezeroak tunela martxan dagoela hara irits badezake. Ibilbiderik gabeko itxura zuzeneko helbide batek denbora-muga sortzen du, eta tunelaren egoera konektatuak ez du ibilbide horri buruz ezer esaten. Egiaztapena resolverrari berari zuzendutako ibilbide-kontsulta da, ez VPNaren amaierako puntuari.

Plataforma bakoitzak horri lerro bakarrean erantzuten dio, eta irteeran aipatzen den interfazea da erantzun osoa. Ataka fisikoari seinalatzen badio resolverra tunelaren atzean dagoen bitartean, profileak ez du hura estaltzen duen aurrizkirik bidaltzen.

ip route get 10.20.30.53                      # Linux
route -n get 10.20.30.53                     # macOS
Find-NetRoute -RemoteIPAddress 10.20.30.53   # Windows PowerShell

Tunel zatituaren profilean resolverra bidalitako ibilbideetatik kanpo egon daiteke, eta hori profileko arazoa da, ez zerbitzarikoa. Alderatu resolverraren helbidea bidalitako aurrizkiekin eta egiaztatu horietako batek estaltzen duela. Desadostasun berak azaltzen du zergatik funtzionatzen duen DNSek sare batean eta huts egiten duen beste batean profil berdinarekin.

Gogora ezazu nabigatzaileek sistema-resolverra saihets dezaketela

DNS segurua gaituta duen nabigatzaile batek HTTPS bidez bere aukerako hornitzaile bati kontsultak bidal diezazkioke eta sistema eragilearen resolverra erabat alde batera utzi. Orduan sistemak zuzen dirudi nabigatzaileak huts egiten duen bitartean, edo alderantziz. Hori nabigatzailearen politika-kontua da, ez tunelarena.

Egiaztatu nabigatzailearen DNS seguruaren ezarpena eta hura kontrolatzen duen politika kudeatu oro, gero probatu bigarren aplikazio edo nabigatzaile bat tunela aldatu gabe. Aplikazio bakarra huts egiten badu, zuzenketa aplikazio horri dagokio. Leiho pribatua ez da alderaketa garbia, nabigatzaile batean luzapenak lehenespenez desgai ditzakeelako eta bestean ez, eta inoiz ez dio politika kudeatuari ihes egiten. Erabili bigarren nabigatzaile-profila edo beste aplikazio bat.

Garbitu cachea eta probatu berriro benetako zeregina

Ezarpen bat zuzendu ondoren, garbitu resolverraren cache lokala, erantzun zahar batek zuzenketaren ondoren iraun ez dezan. Berreskuratze labur batek eta ondorengo beste hutsegite batek arrazoia oraindik badagoela esan nahi du, ez garbiketak huts egin duela. Aukeratu zauden makinari dagokion lerroa, hiru cacheak bereiziak baitira.

ipconfig /flushdns                 # Windows
resolvectl flush-caches            # Linux
sudo killall -HUP mDNSResponder    # macOS

Gero errepikatu jatorrizko zeregina eta ez kontsulta sintetikoa, zeregina baita erabiltzaileari axola zaiona. Konektatu berriro behin, errepasatuak erabiltzailea benetan egongo den egoera estal dezan. Microsoften nslookup erreferentzia da kontsultaren argumentuetarako gorde beharreko orrialdea.

Izenek deskonektatu ondoren soilik huts egiten badute, bezeroak ez zuen aurreko konfigurazioa leheneratu, eta hori bizi-zikloko errore bat da salatzeko, ez DNS zerbitzari bat ordezkatzeko. Funtzionatzen duen kontsulta ere ez da ihes-proba, irteerako herrialdeak ez baitizu esaten zein resolverrek erantzun zuen.