Näin luet VPN DNS -reitityksen linkeittäin resolvectlin tulosteesta
resolvectl status näyttää palvelimet, verkkotunnukset ja oletusreitin linkeittäin. Lue ne yhdessä, kysy sitten nimeä ja kirjaa, mikä linkki vastasi.
Suorita resolvectl status, niin saat seinän linkkikohtaisia lohkoja, kussakin omat palvelimensa ja oma verkkotunnusrivinsä. Reitityksen ratkaisee verkkotunnusluettelo, ei nimipalvelimen osoite, koska paikallinen stub välittää jokaisen kyselyn sille linkille, joka vaatii nimen. Lue nämä vaatimukset ennen vastauksen lukemista, kysy sitten nimeä ja tarkista, mikä linkki sen tuotti. Väärä vastaus oikealta linkiltä on eri ongelma kuin oikea vastaus väärältä linkiltä.
Mitä kukin linkkikohtainen lohko kertoo
Kukin lohko luettelee palvelimet, joita ratkaisija käyttää kyseiselle liitännälle, verkkotunnusluettelon ja sen, onko linkki oletusreitti. Verkkotunnusluettelo on joukko vaatimuksia, ja ratkaisija soveltaa pisimmän jälkiliitteen vastaavuutta: kyselyn host.corp.example vaatii linkki, joka kantaa corp.example, ennen linkkiä, joka kantaa vain oletusreitin. Kaksi linkkiä, jotka vaativat saman jälkiliitteen, jättävät tuloksen prioriteetin ja järjestyksen varaan, siksi kaksoiskappaleet ansaitsevat huomion ensin. Nykyisen palvelimen rivi näyttää, mitä luetelluista palvelimista käytetään sillä hetkellä.
Stub-osoite kuten 127.0.0.53 tiedostossa /etc/resolv.conf kertoo vain, että stub on edessä. Se ei nimeä ylävirtaa, joka vastasi, siksi vain resolv.confiin perustuva diagnoosi juuttuu.
Lue kolme verkkotunnuskirjamerkintätyyppiä oikein
| Merkintä | Mitä se vaatii | Tavallinen virhe |
|---|---|---|
| corp.example | reititysverkkotunnus ja hakuliite: sen alla olevat nimet menevät tälle linkille, ja merkkijono lisätään paljaisiin nimiin | poistettu, koska reititys näyttää toimivan joka tapauksessa |
| ~corp.example | vain reitti: sen alla olevat nimet menevät tälle linkille, mutta liitettä ei lisätä | oletettiin, että se tarvitaan reititykseen |
| ~. | oletusreitti: vaatii kyselyt, joita mikään muu linkki ei kata | jätetty aktiiviseksi jaetussa profiilissa, joten julkiset nimet seuraavat tunnelia |
Tilde muuttaa hakukanavan käyttäytymistä, ei reititystä. Ilman tildeä oleva merkintä on sekä reititysverkkotunnus että hakuverkkotunnus, joten sen alla olevat nimet lähetetään tuolle linkille ja yhden tarran nimiin lisätään liite. Tildellä varustettu merkintä reitittää saman liitteen mutta pitää sen poissa hakuluettelosta. Siksi tilden poistaminen muuttaa sitä, mitkä paljaat nimet ratkeavat, ja siksi puuttuva tilde on hakuongelma eikä jaetun DNS:n vika.
Oletusreitin merkintä vaatii kaiken, mitä mikään muu linkki ei kata. Täystunnelin profiili yleensä haluaa sen ja jaettu profiili yleensä ei, koska julkiset nimet matkaavat silloin yksityiselle ratkaisijalle ja voivat epäonnistua siellä. Lue taulukkoa profiilin tarkoitusta vasten sen sijaan, että kopioit lippuja profiilien välillä. Kun kaksi linkkiä vaatii saman liitteen, selvitä prioriteettikysymys ennen kuin muokkaat mitään muuta.
Kysy nimeä ja katso, mikä linkki vastasi
Alikomento query tulostaa osoitteen, protokollan ja linkin tai laajuuden, jotka tuottivat vastauksen. Testaa yksi nimi, jonka yksityisen liitteen pitäisi vaatia, ja yksi tavallinen julkinen nimi, ja vertaa sitten raportoituja lähteitä. Jos yksityinen nimi vastaa langattomalta linkiltä, vaatimus puuttuu tai tunneli on alas; jos julkinen nimi jaetussa profiilissa vastaa tunnelilta, oletusreitti on liian leveä. Nämä kaksi vikaa näyttävät selaimessa samalta ja tässä tulosteessa päinvastaisilta.
resolvectl status
resolvectl query host.corp.exampleSeuraa myös raportoitua protokollaa, koska välimuistista tai hosts-tiedostosta tuleva vastaus voi saapua kysymättä yhtään ylävirtaa. Välimuistista tullut vastaus todistaa, että nimi ratkesi joskus, ei sitä, että nykyinen käytäntö reitittää sen oikein.
Pidä nimien reititys erillään pakettien reitityksestä
Ratkaisijan päätös ei luo polkua. Valittu palvelin tarvitsee yhä reitin omaan osoitteeseensa, ja palautettu osoite tarvitsee yhä reitin yksityisverkkoon, joten oikea DNS-käytäntö voi elää rinnakkain yhteyden kanssa, joka ei koskaan avaudu. Kun nimi ratkeaa ja sovellus epäonnistuu, tutki osoitetta ja reittiä sen sijaan että muuttaisit DNS:ää uudelleen. Nimien ratkaisu ja tavoitettavuus ovat kaksi kysymystä, joilla on kaksi eri omistajaa.
Sovellukset voivat ohittaa järjestelmän ratkaisijan kokonaan omalla suojatun DNS:n asetuksellaan tai mukana tulevalla ratkaisijalla. resolvectlin tulos kuvaa järjestelmän polun, ja selain, joka jättää sen huomiotta, on eri mieltä jokaisen testisi kanssa. Tarkista tämä asetus ennen kuin päättelet, että käytäntö on rikki.
Kirjaa osoite, johon nimi ratkesi, linkin viereen. Oikea nimi, joka osoittaa väärään osoitteeseen, on tietueen ongelma eikä reititysongelma.
Tarkista uudelleen, kun linkki on muuttunut
Yhdistäminen uudelleen tai langattoman verkon vaihto rakentaa linkin tilan uudelleen, ja verkkohallinta voi asentaa verkkotunnuksensa ja palvelimensa uudelleen kaiken käsin asetetun päälle. Kysy sen jälkeen samoja kahta nimeä ja vertaa tallennettuun perustasoon. Jos käsin tehty muutos on kadonnut, korjaus kuuluu yhteyden profiiliin eikä komentotulkin komentoon. Ennen ja jälkeen tallentaminen on se, mikä tekee siitä näkyvää.
Jaa vain ne nimet ja palvelinkonteksti, jotka raportti tarvitsee, koska sisäiset liitteet paljastavat topologian. systemd-resolvedin verkkotunnusten reititystä koskeva dokumentaatio kattaa pisimmän vastaavuuden säännön ja tilden käyttäytymisen, ja yksi lukukerta estää useimmat yllä olevan taulukon virheet: kyselyjen reititys systemd-resolvedissa.