DNS tamu VirtualBox rusak setelah host bergabung ke VPN

Aplikasi internal selesai diresolusi di host Windows pada saat VPN terhubung, dan tamu Ubuntu di balik NAT VirtualBox tetap tidak menemukannya. Tamu punya resolver sendiri, dan adaptor NAT dapat menangani DNS dengan lebih dari satu cara. Mengganti resolver tamu dengan server publik membuat situs biasa bekerja dan nama privat gagal, yang memindahkan masalah alih-alih menyelesaikannya. Kerjakan keempat pemeriksaan secara berurutan dan berhenti pada yang pertama tidak terpenuhi.

Pastikan mode adaptor mana yang Anda debug

Hanya adaptor dalam mode NAT biasa yang berperilaku seperti yang dijelaskan artikel ini. Adaptor jembatan berada di jaringan fisik dengan identitasnya sendiri, jaringan NAT adalah sakelar virtual bernama dengan pengaturan DHCP dan DNS sendiri, dan klien VPN di dalam tamu menambahkan resolver kedua sepenuhnya. Pastikan modenya sebelum membaca lebih lanjut, karena perbaikannya berbeda pada setiap kasus tersebut.

Satu VM dapat membawa dua adaptor dalam mode berbeda, dan yang terdampak tidak selalu yang pertama.

Pastikan juga host benar-benar me-resolusi namanya. Buka aplikasi yang sama di host dengan terowongan menyala, memakai nama berkualifikasi lengkap yang sama dengan yang akan dipakai tamu. Jika host juga gagal, tamu bukan penyebabnya dan tidak ada perubahan jaringan virtual yang akan memperbaikinya.

Ikuti satu nama melalui resolver tamu

Pilih satu nama internal dan satu nama kontrol publik, lalu uji keduanya di kedua tempat. Nama publik yang teresolusi sementara yang privat tidak menempatkan kesalahan pada jalur privat, bukan pada resolusi nama secara umum. Menguji hanya nama privat membuat Anda tidak bisa membedakan resolver rusak dari rute rusak.

Di dalam tamu, lihat untuk apa resolver sebenarnya dikonfigurasi. Pada tamu Ubuntu yang menjalankan systemd-resolved, status per tautan menampilkan server yang datang, dan berkas resolv.conf boleh berisi hanya alamat stub, yang benar dan bukan mencurigakan. Berkas yang diedit tangan atau klien DNS terenkripsi terpisah dapat mengirim kueri ke tempat yang sama sekali lain. Catat temuan Anda sebelum mengubahnya.

resolvectl status
resolvectl query app.internal.example

Pisahkan resolusi dari keterjangkauan di sini. Alamat yang datang sementara layanan tetap tidak terjangkau adalah soal perutean atau kebijakan, bukan soal DNS.

Coba mode resolver host pada adaptor itu

Opsi DNS NAT VirtualBox menjelaskan mekanisme yang berbeda, dan bedanya penting begitu resolver host sendiri berubah bersama terowongan. Proksi DNS meneruskan permintaan tamu ke server yang diberikan padanya. Mode resolver host menyadap permintaan dan memanggil API DNS host, dan itulah mode yang mengikuti resolver Windows yang dikonfigurasi ulang oleh klien VPN.

Aktifkan mekanisme yang salah dan perintahnya tetap berhasil sementara perilakunya tidak berubah, yang merupakan cara membingungkan untuk kehilangan satu sore.

VBoxManage modifyvm "work-ubuntu" --natdnshostresolver1 on

Catat pengaturan VM saat ini, matikan, dan tuju adaptor yang Anda pastikan sebelumnya. Digit terakhir pada opsi adalah nomor adaptor, bukan konstanta, sehingga menerapkannya pada VM yang adaptor terdampaknya adalah yang kedua menjadi operasi senyap tanpa efek. Nyalakan tamu dan periksa konfigurasi resolver yang benar-benar diterimanya, karena pengaturan manual di tamu mengalahkan apa pun yang ditawarkan lapisan NAT. Ingat bahwa mode resolver host juga mengasumsikan jalur DNS host sendiri adalah yang ingin Anda bagikan.

Ulangi pengujian yang sama selama sambung ulang VPN

Ulangi kedua pencarian di tamu, lalu buka aplikasi sebenarnya dan biarkan ia memvalidasi sertifikatnya sendiri. Uji hanya alamat berguna untuk mengisolasi resolusi nama dan tidak setara dengan sesi TLS yang bekerja, jadi jangan berhenti pada ping. Lalu, di jendela yang disetujui, putuskan dan sambungkan lagi terowongan host dan ulangi sekali lagi. Perilaku yang hanya bertahan pada koneksi pertama setelah boot adalah masalah siklus hidup yang harus dilaporkan, bukan misteri DNS untuk dikejar dengan resolver lain.

Resolusi publik yang bekerja tidak membuktikan bahwa kueri privat tetap berada di jalur yang dituntut kebijakan Anda.

Ketika mode resolver host tidak mengubah apa pun, kembalikan konfigurasi yang tercatat dan simpan keempat pengamatan: apa yang dikembalikan host, apa yang dikembalikan tamu, mode adaptor, dan status resolver. Server internal yang tak terjangkau, filter yang mengecualikan lalu lintas hypervisor, dan penimpaan di sisi tamu masing-masing perlu koreksi berbeda. Mengubah adaptor menjadi jembatan mengubah desain jaringan dan bukan pengaturan ulang DNS.