שם המארח ב-LAN נכשל דרך VPN: סיומת, mDNS או אזור?

לצד ההתקן, המדפסת עונה לשם קצר ושרת הקבצים עונה לכינוי. דרך המנהרה, שני השמות פוקעים בעוד הכתובות שלהם עדיין עובדות. המסלול עושה את שלו; נתיב השמות שהפעיל את השמות הקצרים ההם לא חצה את המנהרה מעולם. שלושה מנגנונים יוצרים את ההתנהגות הזו, וכל אחד מהם דורש תיקון אחר.

התחילו בזיהוי המנגנון שעליו השם נשען.

שלושה סוגי שמות שמתנהגים אחרת

שם עם תווית אחת כמו fileserver נשען בדרך כלל על סיומת חיפוש DNS שהפותרת מוסיפה. הסיומת הזו מגיעה לעיתים קרובות עם חכירת ה-DHCP המקומית, ולכן ללקוח מרוחק שמקבל כתובות מה-VPN אין סיבה להכיר אותה. הוספת מסלול אינה מספקת את הסיומת. השם הקצר פשוט מפסיק להתקיים כשם, למרות שהכתובת שמאחוריו נגישה.

שם שמסתיים ב-.local נפתר בדרך כלל באמצעות DNS מרובה שידור בקישור המקומי, כפי ש-RFC 6762 מתאר. שידור מרובה אינו חוצה מנהרה מנותבת אלא אם משהו מגשר או מתווך אותה בכוונה, ולכן השם מפסיק להיפתר ברגע שאתם יוצאים מהסגמנט.

שם חברה מלא שייך ל-אזור פנימי שהפותרים של הארגון משרתים. זה עובד מרחוק כשה-VPN דוחף את הפותרים האלה והלקוח מוגדר להשתמש בהם. ו-localhost הוא לשימוש מיוחד לפי RFC 6761: הוא מתייחס למכונה שלפניכם, ולעולם לא לשירות מרוחק.

קראו את הפותר לפני שינוי המסלול

שאלו איזה שרת שמות ענה ואיזו סיומת נוספה. אותה שאילתה דרך פותרים שונים נותנת תשובות שונות, וההבדל הזה הוא ההוכחה שאתם צריכים.

getent hosts fileserver
getent hosts fileserver.corp.example.com
nslookup fileserver.corp.example.com
dig +search fileserver A
resolvectl query fileserver.corp.example.com
scutil --dns | head -30

אם השאילתה המלאה נפתרת אבל הקצרה לא, התקלה בסיומת ולא בשרת. אם אף אחת מהן לא נפתרת והכתובת עובדת, הלקוח כלל אינו משתמש בפותר הפנימי. השוו את רשימת הפותרים למה שה-VPN אמור לדחוף, כי לקוח ששומר על הפותר המקומי שלו לכל שאילתה לעולם לא יראה את האזור הפנימי.

הביאו את השם הנכון ללקוח

בקשו מהמנהל את שם הגישה מרחוק המתועד, במלואו, והשתמשו בו בפרופיל במקום לנחש סיומות. אם הפריסה תומכת ב-split DNS, הגדירו שהתחום הפנימי ייפתר על ידי השרתים הפנימיים בעוד כל השאר שומר על הפותר המקומי. דחפו את תחום החיפוש דרך תצורת ה-VPN במקום שבו הלקוח תומך בכך.

אמתו את התוצאה בלקוח ולא בשער. הגדרה שמוחלת בשרת ולא מגיעה ללקוח לעולם אינה משנה דבר.

שמרו על זהות התעודה

בדיקה מבוססת כתובת שמתעלמת משגיאת התעודה מוכיחה רק שהשקע נפתח. תעודת השירות מונפקת עבור שם, והלקוח ימשיך לסרב לאי-ההתאמה מסיבה טובה. אם התעודה מפרטת רק את השם הפנימי, השתמשו בשם הזה ותקנו את הפתרון, או השיגו תעודה שמכסה את הכתובת שאתם מתכוונים להשתמש בה.

רשמו את השם, הפותר והסיומת שהפיקו חיבור מוצלח. הרשומה הזאת חוסכת מהאדם הבא לחזור על העקיפה מבוססת הכתובת שמסתירה את הבעיה האמיתית.