קובץ resolver של macOS עבור דומיין מקומי לצד VPN

ה-VPN בעבודה פותר שמות חברה באופן מושלם בעוד המדפסת בבית נשארת בלתי נגישה לפי שם, והפתרון הרגיל שאנשים פונים אליו הוא להפנות את כל ה-Mac לנתב הביתי. זהו שינוי גדול בהרבה ממה שהבעיה דורשת. macOS יכול לשלוח סיומת DNS אחת אל השרת שלו באמצעות קובץ resolver קטן, ולהשאיר כל חיפוש אחר בדיוק במקום שבו היה.

גבול ההרשאה בא קודם: זה מיועד לדומיין שאתם מנהלים או שקיבלתם הרשאה להגדיר. זה אינו נתיב עוקף למדיניות ה-DNS שנאכפת בארגון או למגבלות רשת מקומית שלו.

קובץ אחד עם תפקיד צר

נניח שהאזור המקומי הוא lab.example.org והשרת שלו עונה בכתובת 192.168.55.1. ב-Mac שבו מותר לכם לבצע את השינוי, מנהל יוצר קובץ טקסט פשוט ששמו הוא הדומיין עצמו, /etc/resolver/lab.example.org, המכיל nameserver 192.168.55.1 שורה אחת. ייתכן שהתיקייה אינה קיימת במערכת חדשה, לכן צרו אותה עם הרשאות מנהל, והסתכלו לפני שאתם כותבים, למקרה שתוכנת ניהול כבר מחזיקה שם קובץ.

תצורת ה-resolver של Apple מתעדת את המוסכמה שלפיה שם הקובץ מספק את הדומיין כאשר אין בקובץ הגדרת דומיין נפרדת. כלל השמות הזה הוא כל הטריק, ולכן הקובץ חייב להיות נקרא על שם האזור ולא על שם השרת.

איך macOS בוחר בין resolvers

יותר מלקוח resolver אחד יכול להיות פעיל, והדומיין המתאים הספציפי ביותר מנצח. resolver עבור lab.example.org יש אפוא היקף שונה מה-resolver המוגדר כברירת מחדל, ותת-דומיין ספציפי יותר עם קובץ משלו יכול שוב לקבל קדימות. זה מה שמאפשר ל-VPN בעבודה לשמור על הסיומת שלו בעוד אזור המעבדה שלכם הולך למקום אחר. שום דבר בהסדר הזה אינו גלובלי, וזו הנקודה שראוי לזכור.

השאירו /etc/resolv.conf בשקט. macOS כותב את הקובץ הזה בעצמו, והוא מעולם לא הכיל את התמונה המלאה של פתרון המותאם לדומיין. תצורה יכולה גם להגיע ממסד נתוני התצורה של המערכת ולא מקבצים בתיקייה הזו, ולכן פרופיל ניהול יכול לעקוף את מה שכתבתם.

שלושה דברים שהקובץ לא יכול לספק

השרת חייב להיות נגיש. אם ה-VPN חוסם רשת מקומית, או שנתיב ארגוני תופס את טווח הכתובות של השרת, קובץ סיומת נכון לחלוטין עדיין לא יוכל להעביר שאילתה. הביאו את זה לבעל הרשת במקום להרחיב בעצמכם חריגים מקומיים.

האזור חייב להחזיק בתשובה הנכונה, ואת זה הכי טוב לבדוק עם שם מלא כמו printer.lab.example.org. שם קצר יכול להפעיל התנהגות של תחומי חיפוש ולסיים בשאילת שאלה שונה מזו שהתכוונתם לשאול.

לבסוף, היישום חייב להיות מסוגל להשתמש בתשובה. פתרון שם של מדפסת אינו מעניק גישה לכתובת שלה, ואינו פותח את השירות שמאחוריה. הכתובת שמוחזרת עדיין זקוקה לנתיב מותר ולמדיניות גישה שמתירה את החיבור. קובץ resolver משנה היכן מחפשים שם; הוא אינו שומר נתיב לתוצאה.

אמתו את הבחירה במקום להחליף DNS

בדקו מה macOS באמת משתמש בו כרגע, ושאלו את השם המלא מתוך היישום עצמו או מכלי שפותר כפי שיישומים עושים. שאילתה ישירה ל-192.168.55.1 מוכיחה שהשרת עונה; היא אינה מוכיחה ש-macOS בחר את השרת הזה לחיפושים רגילים. אלה עובדות שונות, ורק השנייה מתארת מה הדפדפן שלכם יחווה.

אם resolver אחר כבר תובע את אותה סיומת, גלו למי היא שייכת לפני שמוסיפים רמזי עדיפות. ההגדרה search_order המתועדת מסדרת לקוחות שחולקים דומיין; היא אינה מתג העדפה גלובלי שגורם ל-resolver כללי לנצח בכל שאילתה.

ודאו ששמות חברה עדיין נפתרים כשהמנוי VPN מחובר, ואז רשמו את הקובץ ואת מטרתו בהערות המקומיות שלכם. כשההסדר מוסר, מחקו רק את הקובץ הזה ובדקו שוב את שני מרחבי השמות במקום לאפס את כל הגדרות ה-DNS של הרשת.