Glacann DNS an VPN gach fiosrúchán: deisigh dns-priority i NetworkManager

Ceangail VPN na hoifige agus go tobann téann gach fiosrú ainm chuig réititheoir na cuideachta. Réitítear ainmneacha poiblí fós, mar sin ní bhíonn cuma bhriste ar aon rud go dtí go dteipeann ar ainm printéara áitiúil nó go dtagann taifead split-horizon ar ais le seoladh na hoifige. I roinnt suiteálacha Fedora tarlaíonn a mhalairt: leanann réititheoir an tsoláthraí ag freagairt tar éis an tollán a bheith suas. Is aon cheist amháin an dá rud — cé leis an réititheoir seo an fiosrúchán seo — agus ar chórais NetworkManager maireann an freagra in airíonna DNS gach naisc.

Dhá nasc, aon réititheoir buaiteach

Deir gach nasc tosaíocht DNS. Bíonn 50 ag naisc ghnáthúla de réir réamhshocraithe agus 0 ag naisc VPN, agus bíonn an luach is ísle i réim. Sin é an fáth a sáraíonn nasc VPN an nasc sreangaithe go ciúin do gach fearann a éilíonn sé: buann nialas ar chaoga gan aon duine é a roghnú.

Ordaíonn an tosaíocht na hiarrthóirí. Ní chuireann sé teorainn leis an méid a fhiafraítear den bhuaiteoir. Éilíonn nasc VPN gan fhearann cuardaigh gach rud, mar sin cuireann a roghnú fiosrúcháin phoiblí isteach sa tollán freisin agus, i ndearadh tolláin scoilte, go dtí an áit a gcuireann réititheoir na cuideachta ar aghaidh.

Cinneann an tosaíocht an t-ord, cinneann an liosta cuardaigh an úinéireacht

nmcli -f connection.id,ipv4.dns,ipv4.dns-search,ipv4.dns-priority con show "Corp VPN"
resolvectl status
readlink -f /etc/resolv.conf

Is é an liosta cuardaigh an dearbhú úinéireachta. Tagann fearann lom ar nós corp.example chun bheith ina iarmhír chuardaigh agus ina fhearann ródaithe. Cuireann an fhoirm ródaithe amháin ~corp.example na fiosrúcháin faoin iarmhír sin chuig an nasc seo gan an fearann a chur le hainmneacha gearra. Is é an tilde sin an difríocht idir «fiafraigh den fhreastalaí seo» agus «fiafraigh den fhreastalaí seo agus críochnaigh mo chlóscríobh».

Úsáid an dá fhoirm nuair a chlóscríobhann úsáideoirí ainmneacha ósta gearra agus nuair a sheoltar chuig na taifid le hainmneacha láncháilithe freisin. Úsáid an fhoirm ródaithe amháin nuair is mian leat an scoilteadh gan athrú a dhéanamh ar an gcaoi a gcríochnaíonn an réititheoir ainm lom.

Ansin déan an rogha soiléir agus athghníomhachtaigh:

nmcli con modify "Corp VPN" ipv4.dns-priority -100
nmcli con modify "Corp VPN" ipv6.dns-priority -100
nmcli con modify "Corp VPN" ipv4.dns-search "~corp.example,corp.example"
nmcli con up "Corp VPN"

Is é tosaíocht dhiúltach an bealach doiciméadaithe le rá «tabhair tosaíocht don nasc seo», agus coimeádann sé an t-iompar comhsheasmhach ar óstach a bhfuil nascacht IPv6 aige má shocraítear an dá theaghlach seoladh. Ní athraíonn athrú na hairí gan an nasc a athghníomhachtú aon rud atá ag rith anois, agus sin é an fáth a gcríochnaíonn an seicheamh le up soiléir.

Lig do systemd-resolved an scoilteadh a choinneáil

Carnann breiseán dnsmasq réamhshocraithe na fiosrúcháin in aon réititheoir áitiúil amháin, mar sin fanann an dealú de réir naisc garbh. Nochtann systemd-resolved an scoilteadh de réir naisc, agus ainmníonn resolvectl query an nasc a d’fhreagair.

systemctl enable --now systemd-resolved
ln -sf /run/systemd/resolve/stub-resolv.conf /etc/resolv.conf
systemctl restart systemd-resolved NetworkManager
resolvectl query build.corp.example

Ina dhiaidh sin iompraíonn nasc na cuideachta corp.example agus freastalaíonn réititheoir poiblí ar an gcuid eile. Nuair a shroicheann fiosrúchán an nasc mícheart, ainmníonn an t-ordú an nasc a d’fhreagair é, agus is fearr sin a bheith ar eolas ná an seoladh amháin.

Meaitseáil dearadh DNS le cineál an tolláin

Níor cheart go mbeadh liosta scoilte ag dearaí príobháideachais a sheolann gach rud tríd an tollán, mar thabharfadh sé ainmneacha poiblí ar ais don réititheoir áitiúil agus chuirfeadh sé an rún ar ceal. Tá ceann de dhíth ar dhearaí tolláin scoilte: gan é ní fheiceann réititheoir na cuideachta gach fiosrúchán poiblí, agus briseann an socrú an nóiméad a thiteann an tollán.

Ansin tá an kill switch a chuireann bac ar DNS lasmuigh den tollán. Réitítear ainmneacha do chriosanna an tolláin agus teipeann siad i ngach áit eile agus an nasc breá sláintiúil. Is iad na freagraí indéanta cead soiléir do réititheoir an LAN nó taisce áitiúil nach gcuireann ach crios na cuideachta ar aghaidh, agus is eisceacht le húinéir gach ceann acu seachas locht sa tollán.

Iompraíonn próifíl a athscríobhann cumraíocht an réititheora ag tús an chomhéadain ar an gcuma chéanna beagnach: a luaithe a bhíonn an réititheoir áitiúil doshroichte, ní réiteofar ach na hainmneacha atá ar eolas ag an tollán. Cibé meicníocht a bhaineann, scríobh síos cé na hainmneacha atá le hoibriú i ngach staid, agus tabhair an liosta sin don té a láimhseálann na tuarascálacha.

Fíoraigh de réir naisc, agus arís tar éis athcheangail

Fiafraigh d’ainm inmheánach amháin agus d’ainm poiblí amháin, agus féach cá dtéann an fiosrúchán i ndáiríre. Insíonn leathanach seiceála sceite duit cé a d’fhreagair, ní cén nasc a roghnaigh an córas, mar sin ní deir sé faic faoin ord a chumraigh tú díreach.

Rith an dá fhiosrúchán arís tar éis dícheangail agus athcheangail. Cuirtear tosaíochtaí i bhfeidhm arís nuair a ghníomhaíonn nasc, agus féadann sean-nasc siombalach maireachtáil trí uasghrádú nach cuimhin le haon duine. Is é a theastaíonn uait a scríobh síos ag an deireadh ná cé leis an réititheoir cén iarmhír, móide seiceáil a sheasfaidh fós amárach.