Jaettu DNS OpenVPN:n yli: mitä reititysalueen on tehtävä kullakin käyttöjärjestelmällä

Jokainen jaetun DNS:n pyyntö alkaa samalla lauseella: yrityksen nimet menevät yrityksen DNS:ään, kaikki muu toimii kuten ennenkin. Sen lauseen muuttaminen asetukseksi tarkoittaa kolmen kysymyksen vastaamista kutakin käyttöjärjestelmää kohti, ja vastaukset käyttävät kussakin eri mekanismeja. Profiilit, jotka toimivat Linux-kannettavassa, epäonnistuvat usein Windowsissa syistä, joilla ei ole mitään tekemistä tunnelin kanssa. Ero on yleensä reitiksi luultu resolveriasetus.

Nimeä käytäntö ensin ja valitse sitten alustan perusmekanismi, joka ilmaisee sen.

Kolme asetusta, jotka on helppo sekoittaa

Hakuliite laajentaa lyhyen nimen: kun kirjoitat files, siitä tulee files.corp.example, kun resolveri kokeilee liitteitä järjestyksessä. Reititysalue valitsee, mikä resolveri vastaa nimiavaruuden sisäisiin kyselyihin. IP-reitti tekee vain valitusta resolverista tavoitettavan. Nämä kolme ovat eri kerroksissa, ja yhden vaihtaminen toiseen tuottaa asetuksen, joka näyttää oikealta eikä ratkaise mitään.

Sekaannuksella on hintansa: hakuliitteen lisääminen lähettää jokaisen lyhyen nimen työn resolverille, mukaan lukien nimet, jotka kuuluvat muualle. Reititysalueen valitseminen pitää liittymättömät kyselyt paikallisella resolverilla ja lähettää silti *.corp.example tunnelin läpi.

Linux: vain reitittävä toimialue, ei hakuliite

systemd-resolvedissa aaltoviivalla alkava toimialue on vain reitittävä toimialue, mikä tarkoittaa, että kyseisen nimiavaruuden kyselyt menevät linkitetylle resolverille eivätkä muutu myöskään hakuliitteeksi. resolvectl domain tun0 '~corp.example' asettaa sen, ja resolvectl dns tun0 10.8.0.1 nimeää palvelimen. Molemmat asetukset kuuluvat liitännälle, joten ne katoavat sen mukana. Aaltoviiva on se osa, joka jää pois, ja ilman sitä lyhyet nimet alkavat ratketa työn resolverin kautta.

Älä asenna samaa toimialuetta myöskään yleiseksi hakuliitteeksi. Asetukset eivät ole päällekkäisiä; toinen reitittää ja toinen kirjoittaa uudelleen sen, mitä kirjoitit.

Windows tarvitsee nimiavaruuskäytännön, ei liitettä

Windows pitää jaetun DNS:n käytännön Name Resolution Policy Tablessa, ei sovittimen DNS-liitteessä. Sääntö yhdistää nimiavaruuden tiettyihin palvelimiin: Add-DnsClientNrptRule -Namespace .corp.example -NameServers 10.8.0.1. Pelkän liitteen asettaminen muuttaa lyhyiden nimien ulkoasua; se ei ohjaa kyselyä eri palvelimelle.

Tarkista tehokas käytäntö komennolla Get-DnsClientNrptPolicy yhteyden muodostamisen jälkeen, koska aiemman yhteyden sääntö voi elää tunnelia pidempään. Poista säännöt nimen perusteella, kun tunneli katkeaa, ja pidä näyttönimi vakaana, jotta siivous osuu oikeaan merkintään.

Pidä yksi resolverin omistaja alustaa kohti

Työpöytähallinta, OpenVPN:n up-skripti ja paikallinen resolver-daemon voivat kaikki yrittää kirjoittaa saman asetuksen. Kun ne ovat eri mieltä, viimeinen kirjoittaja voittaa ja tulos riippuu purkamisen järjestyksestä. Valitse yksi komponentti omistamaan resolverin tila, anna muiden raportoida kirjoittamisen sijaan ja testaa uudelleenyhdistäminen: käytännön pitäisi kestää se ilman sääntöjen monistumista. Testaa myös yhteyden katkaisu, sillä jäljelle jäänyt tila saa seuraavan yhteyden käyttäytymään eri tavalla.

Sovellukset, jotka tuovat mukanaan oman salatun resolverinsa, jättävät käyttöjärjestelmän käytännön kokonaan huomiotta. Se on sovelluksen ominaisuus, ei tunnelin vika.

Vahvista tulos, ei profiilin teksti

Ratkaise yksi nimi, jonka pitäisi mennä tunnelin läpi, ja yksi, jonka ei pitäisi, kullakin alustalla, ja vahvista, mikä palvelin vastasi. resolvectl query host.corp.example ja Resolve-DnsName host.corp.example raportoivat molemmat vastanneen palvelimen. Toista uudelleenyhdistämisen jälkeen. Vahvista sitten, että tunnelin resolveri on tavoitettavissa osoitteessa, jonka profiili työntää, koska oikea käytäntö, joka osoittaa tavoittamattomaan palvelimeen, epäonnistuu samalla tavalla kuin ei käytäntöä lainkaan.

Kirjaa aiottu toiminta profiilin muistiinpanoihin: mikä liite reitittää, mikä palvelin vastaa siihen ja mitä kaikelle muulle tapahtuu. Seuraava tukemasi alusta tarvitsee tuon lauseen enemmän kuin asetustiedoston.