VPN નું DNS દરેક લુકઅપ લે છે: NetworkManager માં dns-priority સુધારો

ઑફિસ VPN સાથે જોડાઓ અને અચાનક દરેક નામ લુકઅપ કૉર્પોરેટ રિઝોલ્વર પર જાય છે. જાહેર નામો હજી પણ રિઝોલ્વ થાય છે, તેથી સ્થાનિક પ્રિન્ટરનું નામ નિષ્ફળ ન થાય અથવા split-horizon રેકોર્ડ ઑફિસનું સરનામું પાછું ન આપે ત્યાં સુધી કંઈ તૂટેલું દેખાતું નથી. કેટલાક Fedora સેટઅપમાં ઊલટું થાય છે: ટનલ ઉપર આવ્યા પછી પણ ISP રિઝોલ્વર જવાબ આપતું રહે છે. બંને એક જ પ્રશ્ન છે — કયું રિઝોલ્વર આ ક્વેરીનું માલિક છે — અને NetworkManager સિસ્ટમમાં જવાબ દરેક કનેક્શનની DNS ગુણધર્મોમાં રહે છે.

બે કનેક્શન, એક વિજેતા રિઝોલ્વર

દરેક કનેક્શન DNS અગ્રતા જાહેર કરે છે. સામાન્ય કનેક્શન ડિફૉલ્ટ રૂપે 50 અને VPN કનેક્શન 0 લે છે, અને નાનું મૂલ્ય જીતે છે. તે જ ડિફૉલ્ટ કારણ છે કે VPN કનેક્શન જે પણ ડોમેનનો દાવો કરે છે તેના માટે વાયરવાળી લિંકને ચૂપચાપ પાછળ રાખે છે: કોઈએ પસંદ ન કર્યું હોવા છતાં શૂન્ય પચાસને હરાવે છે.

અગ્રતા ઉમેદવારોને ક્રમમાં ગોઠવે છે. વિજેતાને શું પૂછવું તે તે મર્યાદિત કરતું નથી. સર્ચ ડોમેન વગરનું VPN કનેક્શન બધું જ દાવો કરે છે, તેથી તેને પ્રાધાન્ય આપવાથી જાહેર ક્વેરી પણ ટનલમાં જાય છે અને સ્પ્લિટ-ટનલ ડિઝાઇનમાં કૉર્પોરેટ રિઝોલ્વર જ્યાં ફૉરવર્ડ કરે ત્યાં જાય છે.

અગ્રતા ક્રમ નક્કી કરે છે, સર્ચ યાદી માલિકી નક્કી કરે છે

nmcli -f connection.id,ipv4.dns,ipv4.dns-search,ipv4.dns-priority con show "Corp VPN"
resolvectl status
readlink -f /etc/resolv.conf

સર્ચ યાદી માલિકીની ઘોષણા છે. corp.example જેવું નગ્ન ડોમેન સર્ચ પ્રત્યય અને રૂટિંગ ડોમેન બની જાય છે. ફક્ત-રૂટિંગ સ્વરૂપ ~corp.example તે પ્રત્યય હેઠળની લુકઅપ ડોમેનને ટૂંકા નામોમાં ઉમેર્યા વગર આ કનેક્શન પર મોકલે છે. તે ટિલ્ડા «આ સર્વરને પૂછો» અને «આ સર્વરને પૂછો અને મારું ટાઇપિંગ પૂરું કરો» વચ્ચેનો ફરક છે.

બંને સ્વરૂપ વાપરો જ્યારે વપરાશકર્તા ટૂંકા હોસ્ટનામ લખે અને રેકોર્ડ સંપૂર્ણ લાયક નામોથી પણ સંબોધાય. ફક્ત રૂટિંગ સ્વરૂપ વાપરો જ્યારે રિઝોલ્વર નગ્ન નામ કેવી રીતે પૂર્ણ કરે તે બદલ્યા વગર વિભાજન જોઈએ.

પછી પ્રાધાન્ય સ્પષ્ટ કરો અને ફરી સક્રિય કરો:

nmcli con modify "Corp VPN" ipv4.dns-priority -100
nmcli con modify "Corp VPN" ipv6.dns-priority -100
nmcli con modify "Corp VPN" ipv4.dns-search "~corp.example,corp.example"
nmcli con up "Corp VPN"

નકારાત્મક અગ્રતા «આ કનેક્શનને પ્રાધાન્ય આપો» કહેવાની દસ્તાવેજી રીત છે, અને બંને સરનામાં પરિવાર સેટ કરવાથી IPv6 કનેક્ટિવિટી ધરાવતા હોસ્ટ પર વર્તન એકરૂપ રહે છે. કનેક્શન ફરી સક્રિય કર્યા વગર ગુણધર્મ બદલવાથી હાલ ચાલી રહેલું કંઈ બદલાતું નથી, તેથી ક્રમ સ્પષ્ટ up સાથે પૂરો થાય છે.

વિભાજન systemd-resolved પાસે રહેવા દો

ડિફૉલ્ટ dnsmasq પ્લગઇન ક્વેરીને એક સ્થાનિક રિઝોલ્વરમાં ઠાલવે છે, તેથી લિંક દીઠ અલગીકરણ જાડું રહે છે. systemd-resolved લિંક દીઠ વિભાજન દર્શાવે છે, અને resolvectl query જવાબ આપનાર લિંકનું નામ કહે છે.

systemctl enable --now systemd-resolved
ln -sf /run/systemd/resolve/stub-resolv.conf /etc/resolv.conf
systemctl restart systemd-resolved NetworkManager
resolvectl query build.corp.example

તે પછી કૉર્પોરેટ લિંક corp.example ધરાવે છે અને જાહેર રિઝોલ્વર બાકીનું સેવા આપે છે. ક્વેરી ખોટી લિંક પર પહોંચે ત્યારે આદેશ તેને જવાબ આપનાર લિંકનું નામ કહે છે, અને તે જાણવું ફક્ત સરનામું જાણવા કરતાં સારું છે.

DNS ડિઝાઇનને ટનલ પ્રકાર સાથે મેળવો

જે ગોપનીયતા ડિઝાઇન બધું ટનલ દ્વારા મોકલે છે તેમણે વિભાજન યાદી રાખવી ન જોઈએ, કારણ કે તે જાહેર નામો સ્થાનિક રિઝોલ્વરને પાછા આપશે અને ઇરાદો રદ કરશે. સ્પ્લિટ-ટનલ ડિઝાઇનને એકની જરૂર છે: તેના વગર કૉર્પોરેટ રિઝોલ્વર દરેક જાહેર ક્વેરી જુએ છે, અને ટનલ પડે તે ક્ષણે જ સેટઅપ તૂટે છે.

પછી kill switch છે જે ટનલની બહાર DNS અવરોધે છે. ટનલના ઝોન માટે નામ રિઝોલ્વ થાય છે અને બાકીની બધે નિષ્ફળ જાય છે જ્યારે કનેક્શન સંપૂર્ણ સ્વસ્થ હોય છે. વ્યવહારુ જવાબો LAN રિઝોલ્વર માટે સ્પષ્ટ પરવાનગી અથવા એવી સ્થાનિક કૅશ છે જે ફક્ત કૉર્પોરેટ ઝોન ફૉરવર્ડ કરે, અને બંનેમાંથી કોઈપણ ટનલમાં ખામી નહીં પણ માલિક સાથેનો અપવાદ છે.

ઇન્ટરફેસ શરૂ થાય ત્યારે રિઝોલ્વર રૂપરેખા ફરી લખતી પ્રોફાઇલ પણ લગભગ એ જ રીતે વર્તે છે: સ્થાનિક રિઝોલ્વર પહોંચની બહાર થાય પછી ફક્ત ટનલ જાણતી હોય તેવા નામ જ રિઝોલ્વ થશે. કોઈપણ પદ્ધતિ લાગુ પડે, દરેક સ્થિતિમાં કયા નામ કામ કરવા જોઈએ તે લખી રાખો, અને તે યાદી રિપોર્ટ સંભાળનારને આપો.

લિંક દીઠ ચકાસો, પછી ફરી જોડાયા પછી ફરી ચકાસો

એક આંતરિક અને એક જાહેર નામ પૂછો, અને ક્વેરી ખરેખર ક્યાં જાય છે તે જુઓ. લીક-ચેક પૃષ્ઠ કહે છે કયું રિઝોલ્વર જવાબ આપ્યું, સિસ્ટમે કઈ લિંક પસંદ કરી તે નહીં, તેથી તમે હમણાં ગોઠવેલા ક્રમ વિશે તે કંઈ કહેતું નથી.

ડિસ્કનેક્ટ અને ફરી કનેક્ટ કર્યા પછી બંને ક્વેરી ફરી ચલાવો. કનેક્શન સક્રિય થાય ત્યારે અગ્રતા ફરી લાગુ થાય છે, અને જૂની સિમ્બોલિક લિંક એવા અપગ્રેડને પણ ટકી શકે છે જે કોઈને યાદ નથી. અંતે તમે લખાયેલું રાખવા માગો છો કે કયું રિઝોલ્વર કયા પ્રત્યયનું માલિક છે, સાથે એક ચકાસણી જે કાલે પણ માન્ય રહે.