שמות פנימיים קצרים נכשלים ב-VPN: הסיומת שלעולם אינכם רואים
שם קצר עובד רק משום שסיומת חיפוש משלימה אותו. השוו בין השם המלא לקצר כדי להבדיל בין חוסר בסיומת לכשל של הפותר.
השם הקצר עבד במשרד ונכשל ב-VPN, בעוד השם המלא נפתר ללא בעיה. שום דבר לא שבור. שם חשוף כמו intranet אינו שם מלא; הלקוח מוסיף סיומת מרשימת החיפוש שלו ושואל על התוצאה. אם פרופיל ה-VPN אינו מספק את הסיומת הזו, הצורה הקצרה המוכרת מפסיקה להתקיים.
זה כל המיתוס. ה-DNS לא נשבר, מדיניות החיפוש השתנתה.
שם חשוף אינו שם
כשאתם מקלידים תווית אחת, הפותר חייב להחליט מה לשאול. הוא מנסה את השם כפי שהוא, ואז מוסיף רשומות מרשימת החיפוש אחת אחרי השנייה עד שמשהו עונה. ב-Linux, resolv.conf שולט בסדר הזה עם ההגדרות search ו-ndots. ב-Windows, רשימת הסיומות ומדיניות פתרון השמות עושות את אותו הדבר. הסירו את הסיומת ולפותר לא יהיה מה להוסיף.
שם קצר שעובד הוא אפוא הוכחה למדיניות, לא הוכחה לשרת DNS תקין.
מה עושות רשימת הסיומות וכתובת הפותר
שני אלה מתבלבלים כל הזמן. כתובת הפותר אומרת את מי לשאול; רשימת הסיומות אומרת על איזה שם לשאול. VPN יכול לתת לכם פותר פרטי בלי סיומת, או סיומת עם הפותר הלא נכון. רק אחד מהכשלים האלה נראה כמו הפסקת DNS.
בדקו אותם בנפרד, כי תיקון הלא נכון שורף חלון תמיכה.
| What you see | Likely cause |
|---|---|
| Full name resolves, short name fails | Suffix or search list missing |
| Neither resolves | Resolver unreachable or wrong domain rule |
| Both resolve, resource fails | Route or service permission |
שלושה תסמינים, שלושה בעלים שונים.
בדקו קודם את השם המלא
בקשו את השם המלא המתועד של המנהל, לא ניחוש. FQDN שעובד מוכיח שהפותר נגיש ושהרשומה קיימת, מה שמסיר חצי מהסיבות האפשריות בשאילתה אחת. השתמשו בכלי שמראה איזה שרת ענה, כדי שלא תקראו תוצאה שמורה במטמון.
שמרו על הבדיקה פרטית. שליחת וריאנטים פנימיים לפותר ציבורי חושפת שמות ובודקת מדיניות שאיש לא התכוון אליה.
לאן שייך התיקון
תקנו את הפרופיל הבעלים או את מערכת הניהול שמייצרת אותו. עריכה ידנית של תצורת הפותר המקומית נעלמת בדרך כלל בהתחברות מחדש, או חלה על כל רשת שהמכונה מצטרפת אליה, וזה גרוע יותר.
ב-Windows, בדקו את המדיניות האפקטיבית ולא את תיבת הסימון שאתם זוכרים. Get-DnsClientNrptPolicy מציג את כללי פתרון השמות שבאמת בתוקף.
ב-macOS, scutil --dns מדפיס את תצורת הפותר לפי ממשק מוגדר, כולל תחומי החיפוש שה-VPN דחף.
ב-Linux, קראו את שורת search ב-/etc/resolv.conf, אך בדקו אם לקוח VPN שכתב אותה מחדש. אם הקובץ מנוהל, ערכו את מקור האמת ולא את הקובץ המעובד. שורת search מיושנת שנותרה מרשת קודמת היא סיבה נפוצה.
מה לשמור לצד הפרופיל
שמרו את השם המלא המתוקן, רשימת הסיומות וכתובת הפותר לצד פרופיל הלקוח. האדם הבא שידווח שאתר intranet למטה יוכל להשוות שלושה ערכים ידועים במקום להתחיל מדף ריק.
ואם רק הצורה הקצרה נכשלת, אמרו זאת בכרטיס. המשפט הזה חוסך לצוות הפותר אחר צהריים.