A VirtualBox NAT vendég DNS-e elromlik, amikor a gazdagép VPN-hez csatlakozik

Windows gazdagépen a belső alkalmazásnév feloldódik, amint a VPN csatlakozik, Ubuntu vendégen belül viszont nem. A vendég megtartja saját feloldóbeállításait, és az előtte lévő NAT-adapter kétféleképpen válaszolhat a DNS-lekérdezésekre. Ha a vendéget nyilvános feloldóra irányítja, a webhelyek újra betöltődnek, a privát nevek viszont törve maradnak. Ezért a feloldó útvonalát bármi szerkesztése előtt végigkövetik.

Kövessen végig egy lekérdezést a NAT-adapteren

Válasszon egy belső teljesen minősített nevet és egy nyilvános nevet kontrollként. Emelt alagúttal erősítse meg a gazdagépen, hogy a belső név feloldódik, és a mögötte lévő alkalmazás megnyílik. Ezután futtassa ugyanazt a két lekérdezést a vendégen belül, és a válaszokat hasonlítsa össze, ne az eszközöket.

Továbblépés előtt erősítse meg, hogy az adapter valóban egyszerű NAT. A hídadapternek, a nevesített NAT-hálózatnak és a vendégen belüli második VPN-kliensnek külön-külön megvan a maga konfigurációja és magyarázata. Ezen a ponton a találgatás elpazarolja a vizsgálat hátralévő részét.

VBoxManage showvminfo work-ubuntu --machinereadable | grep -i natnet
resolvectl status | head -40
cat /etc/resolv.conf

Az első parancs megmutatja az adapter módját és a hozzá kapcsolt NAT-hálózatot. Ubuntu vendégen belül a második kapcsolatonkénti DNS-beállításokat sorol fel, a harmadik pedig gyakran csak egy helyi stub-címet tár fel, ami azt jelenti, hogy a valódi upstream máshol van.

Tartsa külön a feloldást és az elérhetőséget. Az a vendég, amely megkapja a helyes címet, de nem tud kapcsolatot nyitni, útvonalválasztási, szűrési vagy szolgáltatásjogosultsági problémával küzd, és a további DNS-változtatások soha nem érintik. Vizsgálja külön a címet, és írja le, melyik a kettő közül hibázott.

A proxy mód és a gazdagép feloldó módja különböző mechanizmusok

Proxy módban a NAT-motor továbbítja a vendég lekérdezéseit azokhoz a DNS-kiszolgálókhoz, amelyeket már ismer. A gazdagép feloldó módjában elfogja a lekérdezést, és megkéri a gazdagép operációs rendszerét, hogy oldja fel a nevet azzal, amit a gazdagép éppen használ. Csak a második követi azt a VPN-klienst, amely az alagút felemelkedésekor átírja a gazdagép feloldását. Ezért a két beállítás ugyanazon a gépen különböző válaszokat ad.

Ez a különbség az egész probléma egy mondatban. Ha a vendégnek kiszolgálócímek listáját adja, az nem ugyanaz, mint megkérni a Windowst, hogy oldja fel a nevet a beállított feloldóján keresztül, és megosztott DNS-es VPN-en a két válasz eltér. Az adapter opciója a mechanizmusról szól, nem az engedélyről.

Egyik mód sem ad hozzáférést semmihez. Az engedélyezés a VPN-szabályzatban és a szolgáltatásban él, és egy működő lekérdezés csak azt jelenti, hogy egy név címmé vált.

Váltsa át az adaptert, majd ellenőrizze, mit kap a vendég

Először jegyezze fel a VM hálózati és DNS-beállításait, majd kapcsolja ki a gépet, hogy a tartós konfigurációt szerkessze. Egy work-ubuntu nevű VM esetében, amelynek első adaptere NAT-ot hordoz, az adapterenkénti opciót a gazdagépről állítják be, amíg a VM ki van kapcsolva. Utána indítsa újra, és vizsgálja meg az eredményt ahelyett, hogy a kilépési állapotban bízna.

VBoxManage modifyvm work-ubuntu --natdnshostresolver1 on
VBoxManage showvminfo work-ubuntu --machinereadable | grep -i natdns

Az utolsó számjegy választja ki az adapter számát, tehát ez nem univerzális érték; a 2-es adapter beállítása 2-t hordozna azon a helyen. A telepített VirtualBox-verzióhoz tartozó VBoxManage binárist használja, mert az útvonalon lévő régebbi olyan beállításokat írhat, amelyeket a futó verzió figyelmen kívül hagy.

A proxy opció engedélyezése helyette más mechanizmust választ, és nem adja a gazdagép feloldó viselkedését. A vendég indulása után ellenőrizze a DNS-konfigurációt, amelyet ténylegesen tart, mert a vendégen belül rögzített feloldó vagy titkosított DNS-beállítás más útvonalon tartja az alkalmazásokat, függetlenül attól, mit kínál az adapter.

A VPN teljes életciklusa alatt teszteljen, ne csak egyszer

Ismételje meg mindkét lekérdezést a vendégen, majd nyissa meg a valódi alkalmazást, és hagyja, hogy ellenőrizze a TLS-gazdagépnevet. A csak IP-alapú kapcsolatteszt jól elkülöníti a DNS-t, de ez nem tanúsítvány-ellenőrzés, és nem is szabad annak jelenteni. Jegyezze fel együtt a nevet, a címet és az alkalmazás eredményét.

Egy jóváhagyott ablakban bontsa és kösse újra a gazdagép VPN-jét, és ismételje meg a tesztet. Az eredménynek meg kell felelnie a hozzáférési szabályzatnak, és az, hogy a nyilvános feloldás újra működik, semmit nem mond arról, hogy a privát lekérdezések a szánt útvonalon maradtak-e.

Amikor a gazdagép feloldó módja semmit nem változtat, tegye vissza a feljegyzett értéket, és őrizze meg a megfigyeléseket. A hypervisor-forgalmat kizáró VPN-kliens, az elérhetetlen belső feloldó és a rögzített vendégbeállítás mind más javítást igényel, és az adapter áthidalása a hálózati tervezést változtatja meg, nem a DNS-t állítja vissza.