Բաժանված DNS OpenVPN-ով. ինչ պետք է անի երթուղավորման դոմենը յուրաքանչյուր օպերացիոն համակարգում

Բաժանված DNS-ի յուրաքանչյուր հարցում սկսվում է նույն նախադասությամբ՝ ընկերության անունները գնում են ընկերության DNS, մնացած ամեն ինչ շարունակում է աշխատել։ Այդ նախադասությունը կոնֆիգուրացիայի վերածելը նշանակում է պատասխանել երեք հարցի յուրաքանչյուր օպերացիոն համակարգի համար, և պատասխանները յուրաքանչյուրում օգտագործում են տարբեր մեխանիզմներ։ Linux-ով նոթբուքում աշխատող պրոֆիլները հաճախ ձախողվում են Windows-ում պատճառներով, որոնք ոչ մի կապ չունեն թունելի հետ։ Բացը սովորաբար երթուղու տեղ ընդունված ռեզոլվերի կարգավորում է։

Նախ անվանեք քաղաքականությունը, ապա ընտրեք հարթակի այն պրիմիտիվը, որը արտահայտում է այն։

Երեք կարգավորում, որոնք հեշտ է շփոթել

Որոնման վերջածանցը ընդլայնում է կարճ անունը՝ files մուտքագրելիս այն դառնում է files.corp.example, երբ ռեզոլվերը հերթով փորձում է վերջածանցները։ Երթուղավորման դոմենը ընտրում է, թե որ ռեզոլվերն է պատասխանում անվանատարածքի ներսում հարցումներին։ IP երթուղին միայն հասանելի է դարձնում ընտրված ռեզոլվերին։ Այս երեքը ապրում են տարբեր շերտերում, և մեկը մյուսով փոխարինելը տալիս է կոնֆիգուրացիա, որը ճիշտ է թվում և ոչինչ չի լուծում։

Շփոթությունն արժեք ունի. որոնման վերջածանց ավելացնելը յուրաքանչյուր կարճ անուն ուղարկում է աշխատանքի ռեզոլվերին, ներառյալ անունները, որոնք այլ տեղ են պատկանում։ Երթուղավորման դոմեն ընտրելը չկապված հարցումները պահում է տեղական ռեզոլվերի վրա և միևնույն ժամանակ ուղարկում է *.corp.example թունելով։

Linux. միայն երթուղային դոմեն, ոչ որոնման վերջածանց

systemd-resolved-ում տիլդայով սկսվող դոմենը միայն երթուղային դոմեն է, ինչը նշանակում է, որ այդ անվանատարածքի հարցումները գնում են կապված ռեզոլվերին՝ առանց նաև որոնման վերջածանց դառնալու։ resolvectl domain tun0 '~corp.example' սահմանում է դա, և resolvectl dns tun0 10.8.0.1 անվանում է սերվերը։ Երկու կարգավորումներն էլ պատկանում են ինտերֆեյսին, ուստի անհետանում են դրա հետ։ Տիլդան այն մասն է, որը մարդիկ բաց են թողնում, և առանց դրա կարճ անունները սկսում են լուծվել աշխատանքի ռեզոլվերի միջոցով։

Մի տեղադրեք նույն դոմենը նաև որպես գլոբալ որոնման վերջածանց։ Երկու կարգավորումները ավելորդ չեն. մեկը երթուղավորում է, մյուսը վերաշարադրում է ձեր մուտքագրածը։

Windows-ին անհրաժեշտ է անվանատարածքի քաղաքականություն, ոչ թե վերջածանց

Windows-ը բաժանված DNS-ի քաղաքականությունը պահում է Name Resolution Policy Table-ում, ոչ թե ադապտերի DNS վերջածանցում։ Կանոնը անվանատարածքը կապում է կոնկրետ սերվերների հետ՝ Add-DnsClientNrptRule -Namespace .corp.example -NameServers 10.8.0.1։ Միայն վերջածանցը դնելը փոխում է կարճ անունների տեսքը, այն հարցումը չի ուղղում այլ սերվերի։

Միանալուց հետո ստուգեք գործող քաղաքականությունը Get-DnsClientNrptPolicy-ով, որովհետև նախորդ միացման կանոնը կարող է ապրել ավելի երկար, քան թունելը։ Անջատեք կանոնները անունով, երբ թունելը էջք է տալիս, և պահեք ցուցադրման անունը կայուն, որպեսզի մաքրումը հարվածի ճիշտ գրառմանը։

Մեկ ռեզոլվեր տեր յուրաքանչյուր հարթակի համար

Սեղանի կառավարիչը, OpenVPN-ի up սկրիպտը և տեղական ռեզոլվերի դեմոնը կարող են բոլորը փորձել գրել նույն կոնֆիգուրացիան։ Երբ նրանք չեն համաձայնում, հաղթում է վերջին գրողը, և արդյունքը կախված է ապամոնտաժման հերթականությունից։ Ընտրեք մեկ բաղադրիչ որպես ռեզոլվերի վիճակի տեր՝ թող մյուսները հաշվետվեն գրելու փոխարեն, և փորձարկեք վերամիացումը. քաղաքականությունը պետք է դիմանա դրան առանց կանոնները կրկնապատկելու։ Փորձարկեք նաև անջատումը, որովհետև մնացած վիճակն է, որ ստիպում է հաջորդ միացմանը այլ կերպ վարվել։

Ծրագրերը, որոնք իրենց հետ բերում են սեփական գաղտնագրված ռեզոլվեր, ամբողջությամբ անտեսում են օպերացիոն համակարգի քաղաքականությունը։ Դա ծրագրի հատկություն է, ոչ թե թունելի թերություն։

Ստուգեք արդյունքը, ոչ թե պրոֆիլի տեքստը

Լուծեք մեկ անուն, որը պետք է անցնի թունելով, և մեկը, որը չպետք է, յուրաքանչյուր հարթակում, և հաստատեք, թե որ սերվերն է պատասխանել։ resolvectl query host.corp.example և Resolve-DnsName host.corp.example երկուսն էլ հաղորդում են պատասխանող սերվերին։ Կրկնեք վերամիացումից հետո։ Այնուհետև հաստատեք, որ թունելի ռեզոլվերը հասանելի է այն հասցեում, որը պրոֆիլը մղում է, որովհետև անհասանելի սերվերին ուղղված ճիշտ քաղաքականությունը ձախողվում է այնպես, ինչպես բացակայող քաղաքականությունը։

Գրանցեք նախատեսված վարքը պրոֆիլի նշումներում. որը վերջածանցն է երթուղավորում, որը սերվերն է պատասխանում դրան, և ինչ է պատահում մնացած ամեն ինչին։ Հաջորդ հարթակը, որը դուք կաջակցեք, այդ նախադասության կարիքն ավելի շատ կունենա, քան կոնֆիգ ֆայլի։