Innri nöfn mistakast á VPN meðan opin vefsvæði leysast

Einn notandi segir að netheiti innra netsins leysist ekki í gegnum VPN. Önnur tilkynning, af sama fartölvu, segir að lekapróf sýni enn að svar komi frá staðbundna leysinum. Þau hljóma eins og eitt vandamál en eru tvö, með ólíkum sönnunargögnum, og venjulega viðgerðin á hinu fyrra gerir hið síðara verra. Aðskiljið þau áður en einhverri stillingu er snert.

Tvö einkenni sem eru ekki ein bilun

Mistök við að leysa innra nafn þýða að spurningin fór eitthvert þar sem ekkert svar er til. Fyrirspurnir sem fara út úr göngunni þýða að spurningin fór á rangann stað jafnvel þegar svarið var tiltækt. Þetta eru andstæð mistök: í öðru vantar svar, í hinu er auka áfangastaður.

Gildran er sú að að bæta skrifstofuleysinum við alls staðar lagar hið fyrra og tryggir hið síðara. Að bæta opinberum leysi við alls staðar gerir hið gagnstæða.

Skráið báðar athuganir með tímastimpli og farið síðan í gegnum fjórar prófanir hér fyrir neðan í réttri röð.

Hvaða leysir millistykksins fær spurninguna

Í Windows velur DNS-biðlari netþjóna eftir bindiröð millistykka, og göngumillistykkið er ekki sjálfkrafa fyrst. Opnið ítarlegar stillingar millistykksins og færið fjartengingu ofar en líkamlega millistykkið, og tengist síðan aftur svo breytingin gildi fyrir nýja lotu.

Bindiröðin er aðeins fyrri helmingurinn. Biðlarinn verður líka að vita hvaða nöfn tilheyra þeim millistykki, og það er spurning um viðskeyti en ekki um röð.

Setjið ipconfig /all frá vélinni sem virkar við hlið þess frá fartölvunni, bæði tekin meðan göngin eru virk. Vélin sem virkar mun sýna DNS-viðskeyti sem er sértækt fyrir tengingu á skrifstofumillistykkinu, og fartölvan kann að sýna ekkert á göngunni. Sá munur útskýrir heilan flokk tilkynninga sem segja að þjónninn sé þarna og nafnið mistakist samt, því án viðskeytis er stutta nafnið aldrei fullgert í svæðið sem skrifstofuleysirinn þjónar.

Stutt nafn þarf viðskeyti áður en það þarf slóð

Að slá inn hýsinanfn án hæfingar biður leysinn að giska á lén. Giskið kemur úr viðskeytalistanum sem fylgir tengingunni, og ef sá listi er tómur fer fyrirspurnin út sem eitt merki sem ekkert einkasvæði mun passa við.

Afritið viðskeyti vélarinnar sem virkar í IPv4-eiginleika VPN-millistykksins á DNS-flipanum og tengist síðan aftur. Í Linux er samsvarandi hlutur leitarsvæðið á göngutenglinum, sem systemd-resolved birtir fyrir hvern tengil en ekki á heimsvísu.

Haldið stillingunum tveimur aðskildum í athugasemdunum. Viðskeyti breytir því hvað er spurt; slóð leysisins breytir því hver er spurður. Að laga annað á meðan hitt er rangt gefur niðurstöðu sem virðist tilviljunarkennd.

Spyrjið leysinn beint og síðan nafnið

Bein fyrirspurn til skrifstofuleysisins aðskilur nafnavandamál frá slóðavandamáli, því hún fer alveg fram hjá vali biðlarans á leysi.

nslookup intranet.corp.example 10.20.0.53
nslookup intranet
resolvectl status

Fyrsta skipunin spyr ákveðinn netþjón um fullhæft nafn. Ef hann svarar eru leysirinn og slóðin að honum í lagi og bilunin er í valinu eða viðskeytinu. Ef tíminn rennur út er slóðin röng eða óaðgengileg og vandamálið er í leiðsögn en ekki DNS. Önnur skipunin sýnir hvað gerist með stutta nafnið og sú þriðja prentar leysistillingu hvers tengils á systemd-vél.

Fylgist með algildum svörum, sem sum net skila fyrir óþekkt nöfn. Svar sem virðist trúverðugt er ekki sönnun þess að tilætlaði netþjónninn hafi svarað, svo berið saman skilaðri slóð við þá sem innri þjónustan notar í raun. Ef slóðin tilheyrir bílastæðasíðu eða milliþjóni svaraði leysirinn en svarið var aldrei ykkar. Sá munur sparar klukkustund í eltingarleik við göng sem virkuðu allan tímann.

Í Linux kemur VPN-biðlari sem endurskrifar /etc/resolv.conf algjörlega í stað staðbundinna leysa. vpnc birtir DNSUpdate no til að stöðva það, og systemd-resolved getur aðeins beint skráðum lénum á göngutengilinn. Báðar aðferðir halda opinberum nöfnum hjá staðbundna leysinum á meðan innri nöfnum er sent til skrifstofunnar.

Lekar eru regla, ekki gátreitur

Nafnaleysing er UDP-skipti á porti 53, svo göng sem flytja vefumferð en ekki UDP skilja fyrirspurnina eftir á líkamlegu slóðinni. Sannið það með því að grípa á líkamlega netkortinu meðan opinbert nafn er leyst. Fyrirspurn sem sést á því viðmóti í læsilegu formi þýðir að göngin flytja hana ekki.

sudo tcpdump -ni eth0 -c 20 'udp port 53'
resolvectl query example.com

Ef fyrirspurnin birtist á því viðmóti í læsilegu formi flytja göngin hana ekki. Viðgerðin er regla sem leyfir port 53 aðeins til leysisins sem VPN ýtti inn og hendir öðrum áfangastöðum, ásamt biðlarastillingu sem hendir ekki í kyrrþey ýttu valkostinum.

Sá síðasti hluti skiptir meira máli en virðist. Ræsið OpenVPN með route-nopull og ýtti DNS-valkosturinn hverfur ásamt slóðunum, nema togfilterið sé víkkað til að halda honum. og biðlari sem hunsar dhcp-option DNS heldur áfram að nota það sem hann hafði áður. Sérhver breyting á netþjónshlið krefst nýrrar lotu til að gilda, því leysilistinn er afhentur þegar göngin fara upp og úrelt lota heldur áfram að sýna gamla ástandið.

Skráið hvaða bilun þið sáu í raun áður en miðinn er lokaður. Vantar innra svar og fyrirspurn sem sleppur út úr göngunum krefjast ólíkra viðgerða, og viðskeytisbreyting sem lagar hið fyrra getur hljóðlega gert hið síðara verra. Næsti sem tekur miðann mun treysta merkinu, svo gerið merkið nákvæmt.