Skipt DNS yfir OpenVPN: hvað leiðarsvæði þarf að gera á hverju stýrikerfi

Sérhver skipt DNS-fyrirspurn hefst á sömu setningu: nöfn fyrirtækisins fara í DNS fyrirtækisins, allt annað heldur áfram að virka. Að breyta þeirri setningu í stillingu þýðir að svara þremur spurningum fyrir hvert stýrikerfi, og svörin nota ólíka ferla í hverju þeirra. Forstillur sem virka á Linux fartölvu mistakast oft á Windows af ástæðum sem hafa ekkert með göngin að gera. Bilið er yfirleitt uppsetning á leysi sem er tekin fyrir leið.

Nefndu stefnuna fyrst og veldu síðan grunneiningu vettvangsins sem lýsir henni.

Þrjár stillingar sem er auðvelt að rugla saman

Leitarviðskeyti víkkar stutt nafn: að slá inn files verður files.corp.example þegar leysirinn prófar viðskeytin í röð. Leiðarsvæði velur hvaða leysir svarar fyrirspurnum innan nafnrýmis. IP-leið gerir aðeins valda leysinn aðgengilegan. Þessir þrír búa í ólíkum lögum, og að skipta einum út fyrir annan gefur stillingu sem lítur rétt út og leysir ekkert.

Ruglið hefur kostnað: að bæta við leitarviðskeyti sendir hvert stutt nafn til leysis vinnunnar, þar á meðal nöfn sem tilheyra annars staðar. Að velja leiðarsvæði heldur ótengdum fyrirspurnum á staðbundna leysinum og sendir samt *.corp.example í gegnum göngin.

Linux: aðeins leiðarsvæði, ekki leitarviðskeyti

Á systemd-resolved er svæði með tildíu fyrir framan svæði sem er aðeins leið, sem þýðir að fyrirspurnir fyrir það nafnrými fara til tengda leysisins án þess að verða líka leitarviðskeyti. resolvectl domain tun0 '~corp.example' stillir það, og resolvectl dns tun0 10.8.0.1 nefnir netþjóninn. Báðar stillingar tilheyra viðmótinu, svo þær hverfa með því. Tildían er hlutinn sem fólk sleppir, og án hennar byrja stutt nöfn að leysast í gegnum leysi vinnunnar.

Settu ekki sama svæði líka upp sem almennt leitarviðskeyti. Stillingarnar tvær eru ekki óþarfar; önnur beinir og hin endurskrifar það sem þú slóst inn.

Windows þarf nafnrýmisstefnu, ekki viðskeyti

Windows geymir stefnu skipts DNS í Name Resolution Policy Table, ekki í DNS-viðskeyti netkortsins. Regla varpar nafnrými á ákveðna netþjóna: Add-DnsClientNrptRule -Namespace .corp.example -NameServers 10.8.0.1. Að stilla aðeins viðskeytið breytir útliti stuttra nafna; það beinir fyrirspurninni ekki til annars netþjóns.

Athugaðu virku stefnuna með Get-DnsClientNrptPolicy eftir tengingu, því regla frá fyrri tengingu getur lifað göngin af. Fjarlægðu reglur eftir nafni þegar göngin falla, og haltu skjánafninu stöðugu svo hreinsunin nái réttri færslu.

Haltu einum eiganda leysis á hverjum vettvangi

Skjáborðsstjóri, OpenVPN up-skript og staðbundinn leysisdæmon geta allir reynt að skrifa sömu stillinguna. Þegar þeir eru ósammála vinnur síðasti skrifandinn og útkoman fer eftir röð niðurrifsins. Veldu eina einingu til að eiga stöðu leysisins, leyfðu hinum að tilkynna í stað þess að skrifa, og prófaðu endurtengingu: stefnan ætti að lifa hana af án þess að tvöfalda reglur. Prófaðu líka aftengingu, því afgangsstaðan er það sem lætur næstu tengingu haga sér öðruvísi.

Forrit sem koma með sinn eigin dulritunarleysi hunsa stefnu stýrikerfisins algjörlega. Það er eiginleiki forritsins, ekki galli í göngunum.

Staðfestu niðurstöðuna, ekki texta forstillingarinnar

Leystu eitt nafn sem á að fara í gegnum göngin og eitt sem á það ekki, á hverjum vettvangi, og staðfestu hvaða netþjónn svaraði. resolvectl query host.corp.example og Resolve-DnsName host.corp.example tilkynna bæði netþjóninn sem svaraði. Endurtaktu eftir endurtengingu. Staðfestu svo að leysir gagnanna sé aðgengilegur á því vistfangi sem forstillingin ýtir, því rétt stefna sem bendir á óaðgengilegan netþjón mistekst á sama hátt og engin stefna.

Skráðu ætluðu hegðunina í athugasemdir forstillingarinnar: hvaða viðskeyti beinir, hvaða netþjónn svarar því og hvað verður um allt annað. Næsti vettvangur sem þú styður þarf þá setningu meira en stillingarskrána.