Az OpenVPN küldött egy DNS-kiszolgálót, de a Linux figyelmen kívül hagyja

A küldött DNS-kiszolgáló benne van a naplóban, az alagút fut, és a belső nevek továbbra is meghiúsulnak. Magában a küldésben semmi sem hibás; a beállítás megérkezett, és ott megállt. A küldött DNS-beállítás üzenet az ügyfélnek, nem utasítás az operációs rendszer feloldójának, és a kettő közötti átadás az a pont, ahol ezeknek az eseteknek a többsége véget ér. Öt ellenőrzés, sorrendben, megtalálja az átadást, amely nem történt meg.

Első ellenőrzés: hogyan indul a kapcsolat

A kapcsolat tulajdonosa határozza meg, ki alkalmazhatja a feloldó beállításait. A héjból indított közvetlen openvpn-parancs semmit sem birtokol a saját folyamatán kívül, míg egy systemd-egység, a NetworkManager vagy egy szállítói kliens mindegyikének megvan a maga módja a DNS közzétételére. Olvassa el a folyamatlistát és az egység nevét, mielőtt bármelyiket feltételezné.

A parancssori folyamat nem automatikusan NetworkManager-kapcsolat, és a NetworkManager-kapcsolat nem automatikusan az, ami a resolv.conf-ot írta. Ez a két feltételezés magyarázza a vizsgálat során elvesztegetett órák többségét. Kérdezze meg, melyik komponens tenne közzé DNS-t a ténylegesen látott interfészhez.

Jegyezze fel a tulajdonost, mielőtt továbblép. Minden későbbi ellenőrzés ettől függ.

Második ellenőrzés: mit tartalmaz valójában a feloldó kapcsolata

Egy systemd-resolved gazdagépen a resolvectl status minden kapcsolatot felsorol a DNS-kiszolgálóival és tartományaival. Keresse meg az alagút kapcsolatát, és olvassa el a bejegyzéseit, és ne feltételezze, hogy az interfész neve tun0, mert a számozás a létrehozás sorrendjét követi. Ha a küldött cím hiányzik a kapcsolatból, az átadás hiúsult meg, nem a lekérdezés.

Ha a cím jelen van, a következő kérdés, hogy mely tartományokat igényli ez a kapcsolat. A tartománylista nélküli kapcsolat csak azokra a nevekre válaszol, amelyekről közvetlenül kérdezik, és ezt ritkán akarja egy split-DNS telepítés. A cím önmagában szükséges, de nem elégséges.

Hasonlítsa össze a kapcsolat nevét a feloldó kimenetében az interfész nevével a VPN naplójában, mielőtt bármilyen következtetést levon. Az ottani eltérés általában azt jelenti, hogy a naplósor egy másik folyamattól származik.

Harmadik ellenőrzés: kiválasztja-e a névtér ezt a kapcsolatot

A feloldó birtokolhatja a helyes kiszolgálót, és mégsem kérdezik meg. A kapcsolatonkénti tartomány dönti el, mely lekérdezések melyik kapcsolathoz mennek, és útválasztási tartomány nélkül a privát névtér visszaesik arra, amit az alapértelmezett kapcsolat mond. Ezért sikerülhet a resolvectl query a belső névhez, miközben egy alkalmazás továbbra is meghiúsul. Lehet, hogy az alkalmazás egészen más feloldói útvonalat használ.

Ellenőrizze a tartomány hozzárendelését, ne csak a kiszolgáló címét. A ~corp.example alakban írt tartomány útválasztási tartomány, és a tilde megváltoztatja, hogyan egyeztethető a név.

Ha az alkalmazásnak saját feloldója van, ugyanazzal a mechanizmussal teszteljen, amelyet ő használ, ne a rendszereszközzel. Egy olyan lekérdező eszköz, amely megkerüli a rendszer feloldóját, a kapcsolat állapotától függetlenül sikerülni fog.

Negyedik ellenőrzés: egy tulajdonos, nem kettő

Ha a NetworkManager már kezeli a VPN-t és a feloldó állapotát, egy független hook-szkript hozzáadása versengő írókat hoz létre. A csomag által a systemd-resolvedhoz biztosított hook támogatott integráció, és meghatározott életciklust vár: script-security 2, egy up útvonal, up-restart, egy down útvonal és down-pre. Ezek a beállítások a regisztrációt és az eltávolítást a megfelelő pillanatokban teszik meg, nem csak az első kapcsolatnál.

A csomagból telepített útvonalat használja, ne egy útmutatóból másolt szemléltetőt. Az engedélyek is számítanak, mert a hook a jogosultságok csökkenése után fut.

Egy disztribúció feloldó-szkriptjének szerkesztése a kimeneti cél megváltoztatásához egyetlen gazdagép megkerülését rögzíti. Ez nem általános javítás.

Ötödik ellenőrzés: ugyanaz az eredmény újracsatlakozás után

Csatlakozzon újra, és olvassa újra a kapcsolatot. Az a regisztráció, amely egyszer megjelenik és a következő átmenetnél eltűnik, az a hiba, amelynek kedvéért ez az egész ellenőrzőlista létezik. Teszteljen felfüggesztés után, kényszerített újracsatlakozás után és a feloldó szolgáltatás újraindítása után. Minden átmenet más sorrend-feltételezést próbál ki.

Csak akkor mondhatja, hogy a küldött beállítások használatban vannak, ha újracsatlakozáskor mind az öt ellenőrzés átmegy. Minden korábbi dolog egy szerencsés pillanat pillanatképe.