Split-DNS oer OpenVPN: wat in routingdomein op elk bestjoeringssysteem dwaan moat
In syk-efterheaksel, in routingdomein en in IP-rûte binne trije ferskillende dingen. Stel it belied per platfoarm yn en bewiis dan hokker tsjinner it fraach beäntwurde hat.
Elk split-DNS-fraach begjint mei deselde sin: nammen fan it bedriuw geane nei de DNS fan it bedriuw, al it oare bliuwt wurkjen. Dy sin omsette yn in konfiguraasje betsjut trije fragen beäntwurdzje per bestjoeringssysteem, en de antwurden brûke op elk dêrfan oare meganismen. Profylen dy’t op in Linux-laptop wurkje, mislearje faak op Windows om redenen dy’t neat mei de tunnel te krijen hawwe. It gat is meastentiids in resolver-ynstelling dy’t foar in rûte oansjoen wurdt.
Neam it belied earst, en kies dan de platfoarmprimitif dy’t it útdrukt.
Trije ynstellingen dy’t maklik te betiizjen binne
In syk-efterheaksel wreidet in koarte namme út: typ files en it wurdt files.corp.example as de resolver de efterheaksels op folchoarder besiket. In routingdomein kiest hokker resolver fragen binnen in nammeromte beäntwurdet. In IP-rûte makket allinnich de keazen resolver berikber. Dy trije libje yn ferskillende lagen, en it iene troch it oare ferfange jout in konfiguraasje dy’t goed liket en neat oplost.
De betizing hat in priis: it tafoegjen fan in syk-efterheaksel stjoert elke koarte namme nei de resolver fan it wurk, ek nammen dy’t earne oars hearre. It kiezen fan in routingdomein hâldt net-relatearre fragen by de lokale resolver wylst it *.corp.example noch altyd troch de tunnel stjoert.
Linux: in allinich-rûte-domein, gjin syk-efterheaksel
Op systemd-resolved is in domein mei in tilde derfoar in allinich-rûte-domein, wat betsjut dat fragen foar dy nammeromte nei de keppele resolver geane sûnder ek in syk-efterheaksel te wurden. resolvectl domain tun0 '~corp.example' set dat, en resolvectl dns tun0 10.8.0.1 neamt de tsjinner. Beide ynstellingen hearre by de ynterface, dus se ferdwine der mei. De tilde is it part dat minsken weilitte, en sûnder dy begjinne koarte nammen troch de resolver fan it wurk op te lossen.
Ynstallearje itselde domein ek net as in algemien syk-efterheaksel. De twa ynstellingen binne net oerstallich; de iene rûtelet en de oare skriuwt oer wat jo typt hawwe.
Windows hat in nammeromtebelied nedich, gjin efterheaksel
Windows hâldt it split-DNS-belied yn de Name Resolution Policy Table, net yn it DNS-efterheaksel fan de adapter. In regel keppelt in nammeromte oan spesifike tsjinners: Add-DnsClientNrptRule -Namespace .corp.example -NameServers 10.8.0.1. Allinnich it efterheaksel ynstelle feroaret hoe’t koarte nammen derút sjogge; it rjochtet it fraach net nei in oare tsjinner.
Kontrolearje it effektive belied mei Get-DnsClientNrptPolicy nei it ferbinen, want in regel fan in eardere ferbining kin de tunnel oerlibje. Ferwiderje regels by namme as de tunnel delgiet, en hâld de werjefte namme stabyl sadat it opromjen de juste ynstap rekket.
Ien resolver-eigner per platfoarm
In buroblêdbehearder, in OpenVPN up-skript en in lokale resolver-daemon kinne allegear besykje deselde konfiguraasje te skriuwen. As se it net iens binne, wint de lêste skriuwer en it resultaat hinget ôf fan de folchoarder fan ôfbrekken. Kies ien komponint om de resolver-tastân te besitten, lit de oaren rapportearje ynstee fan skriuwe, en test in ferbining opnij: it belied moat dat oerlibje sûnder regels te ferdûbeljen. Test ek in ferbrekking, want oerbliuwende tastân is wat de folgjende ferbining oars lit gedragen.
Tapassingen dy’t har eigen fersifere resolver meinimme, negearje it belied fan it bestjoeringssysteem folslein. Dat is in eigenskip fan de tapassing, gjin defekt yn de tunnel.
Kontrolearje it resultaat, net de tekst fan it profyl
Los ien namme op dy’t troch de tunnel moat en ien dy’t dat net moat, op elk platfoarm, en befêstigje hokker tsjinner antwurde. resolvectl query host.corp.example en Resolve-DnsName host.corp.example rapportearje beide de tsjinner dy’t reagearre. Werhelje nei it op ’e nij ferbinen. Befêstigje dan dat de resolver fan de tunnel berikber is op it adres dat it profyl stjoert, want in korrekt belied dat nei in ûnberikbere tsjinner wiist, mislearret itselde as gjin belied.
Skriuw it bedoelde gedrach yn de notysjes fan it profyl: hokker efterheaksel rûtelet, hokker tsjinner dêrop antwurdet en wat der mei al it oare bart. It folgjende platfoarm dat jo stypje sille dy sin nediger hawwe as it konfiguraasjebestân.