OpenVPN stjoerde in DNS-tsjinner, mar Linux negearret him

De stjoerde DNS-tsjinner stiet yn it log, de tunnel is omheech, en ynterne nammen missele noch altyd. Oan it stjoeren sels is neat kapot; de ynstelling kaam oan en stoppe dêr. In stjoerde DNS-opsje is in berjocht oan de klant, gjin opdracht oan de resolver fan it bestjoeringssysteem, en de oerdracht tusken beide is wêr’t de measte fan dizze gefallen einigje. Fiif kontrôles, yn folchoarder, fine de oerdracht dy’t net barde.

Kontrôle ien: hoe’t de ferbining begjint

De eigner fan de ferbining bepaalt wa’t resolver-ynstellingen tapasse kin. In direkte openvpn-opdracht út in shell hat neat oars as syn eigen proses, wylst in systemd-ienheid, NetworkManager of in leveransiersklant elk syn eigen wize hat om DNS te publisearjen. Lês de prosesslist en de namme fan de ienheid foardat jo ien fan dy oannimme.

In proses fan de opdrachtline is net automatysk in NetworkManager-ferbining, en in NetworkManager-ferbining is net automatysk it ding dat resolv.conf skreau. Dy twa oannames ferklearje it measte fan de fergriemde oeren yn dit ûndersyk. Freegje hokker komponint DNS publisearje soe foar de ynterface dy’t jo echt sjogge.

Skriuw de eigner op foardat jo fierder geane. Eltse lettere kontrôle hinget dêrfan ôf.

Kontrôle twa: wat de resolver-keppeling echt hâldt

Op in systemd-resolved-host listet resolvectl status elke keppeling mei syn DNS-tsjinners en domeinen. Fyn de tunnel-keppeling en lês syn items, en nim net oan dat de ynterface tun0 hjit, want de nûmering folget de folchoarder fan oanmeitsjen. As it stjoerde adres by de keppeling ûntbrekt, mislearre de oerdracht yn stee fan de fraach.

As it adres der is, is de folgjende fraach hokker domeinen dy keppeling opeasket. In keppeling sûnder domeinlist beantwurdet allinnich nammen dêr’t direkt nei frege wurdt, en dat is selden wat in split-DNS-útrulling wol. It adres allinnich is nedich mar net genôch.

Fergelykje de keppelingnamme yn ’e resolver-útgong mei de ynterfacenamme yn it VPN-log foardat jo in konklúzje lûke. In ôfwiking dêr betsjut meastentiids dat de logrige fan in oar proses kaam.

Kontrôle trije: oft de nammromte dy keppeling kiest

In resolver kin de juste tsjinner hâlde en dochs net rieplachte wurde. It domein per keppeling bepaalt hokker fragen nei hokker keppeling geane, en sûnder in routingdomein falt de privee nammromte werom op wat de standertkeppeling seit. Dêrom kin resolvectl query foar de ynterne namme slagje wylst in applikaasje noch altyd mist. De applikaasje brûkt miskien in hiel oar resolverpaad.

Kontrolearje de domeintawizing, net allinnich it tsjinneradres. In domein skreaun as ~corp.example is in routingdomein, en de tilde feroaret hoe’t de namme oerienkomt.

As de applikaasje in eigen resolver hat, test dan mei itselde meganisme dat dy brûkt ynstee fan mei it systeemhelp middel. In helpmiddel foar fragen dat de systeemresolver omslipt, sil slagje, hoe’t de keppeling der ek foar stiet.

Kontrôle fjouwer: ien eigner, net twa

As NetworkManager al it VPN en de resolver-stân beheart, makket it tafoegjen fan in net-relatearre hook-skript konkurrearjende skriuwers. De hook dy’t it pakket foar systemd-resolved leveret is in stipe yntegraasje, en ferwachtet in bepaald libbenssyklus: script-security 2, in up-paad, up-restart, in down-paad en down-pre. Dy opsjes meitsje dat registraasje en fuortsmyt op ’e juste mominten barre yn stee fan allinnich by de earste ferbining.

Brûk it ynstallearre paad út it pakket yn stee fan in yllustratyf ien dat út in hânlieding kopyeare is. Foech is ek fan belang, want de hook rint nei’t foech sakke is.

It bewurkjen fan in resolver-skript fan in distribúsje om syn útfierdoel te feroarjen, registrearret de omslach fan ien host. It is gjin algemiene repaaraasje.

Kontrôle fiif: itselde resultaat nei in werferbining

Ferbinje op ’e nij en lês de keppeling opnij. In registraasje dy’t ien kear ferskynt en by de folgjende oergong ferdwynt, is de flater dêr’t dizze hiele kontrolelist foar bestiet. Test nei in sliep, nei in twongen werferbining en nei in werstart fan de resolver-tsjinst. Eltse oergong beproevet in oare oanname oer de folchoarder.

Pas as alle fiif kontrôles by in werferbining slagje, kinne jo sizze dat de stjoerde ynstellingen yn gebrûk binne. Alles earder is in momintopname fan in gelokkich momint.