Skipt DNS og VPN: lénareglur eru ekki IP-leiðir
Skipt DNS velur leysi eftir nafni, og svarið þarf samt leið. Prófaðu lénaregluna og leiðina hvor í sínu lagi, á þeim vettvangi sem þú keyrir í raun.
Fartölvan þín leysir intranet.corp í gegnum göngin á meðan gitlab.com heldur áfram til leysisins hjá þjónustuveitandanum, og það er fyrirkomulagið sem virkar eins og það var hannað. Tvær aðskildar ákvarðanir sköpuðu það: regla um nafnsamsvörun valdi leysinn, og leið bar svarið til baka. Brjóttu aðra hvora og vafrinn sýnir bilun sem lítur eins út að utan. Flestar skýrslur um skipt DNS lýsa seinni biluninni og vitna á sama tíma í sannanir um þá fyrri.
Tveir helmingarnir búa á mismunandi stöðum og eru venjulega ritstýrðir af mismunandi fólki. Annar er DNS-stefna sem er fest við VPN-sniðið, hinn er leið sem göngin setja upp eða halda eftir. Villuleit stöðvast þegar enginn staðfestir hvor helmingurinn hreyfðist í raun.
Tvær ákvarðanir faldar í einni beiðni
Nafnhelmingurinn er stefnuhluti, ekki leið. Í Windows er það nafnupplausnarstefna á VPN-sniðinu; á Apple-kerfum safn samsvörunarléna á DNS-stillingahlut; í Linux leiðarstýrilén, skipt leysirlína eða röð nafnþjónusturofans. Leiðarhelmingurinn er venjuleg leiðarstýring, uppsett af göngunum eða fyrir hönd, og hann veit ekkert hvað hýsilnafn er. Snið sem leyfir viðskeyti ákveður bara hver svarar; það gerir svarið aldrei aðgengilegt.
Skjótt einkennapróf aðskilur þau: skiptu nafninu út fyrir vistfang. Ef vistfangið virkar er leiðin í lagi og reglan röng. Ef vistfangið mistekst líka gæti reglan verið rétt og leiðin vantað.
Hvernig hver kerfisvettvangur tjáir sömu nafnregluna
Tilgangurinn er samhljóða og reitheitin ekki. Dæmi sem er afritað frá einum biðlara til annars er þáttað hreint og passar aldrei. Þrjú formin líta svona út:
| Platform | Where the rule lives | What usually breaks |
|---|---|---|
| Windows | name-resolution policy on the VPN profile | precedence against the interface suffix list |
| Apple platforms | match domains on the DNS settings object | domains attached to the wrong extension |
| Linux | routing domain, split resolver, nsswitch order | the suffix written the wrong way round |
Samsvörunar- eða leiðarstýrilén er viðskeytispróf, þannig að intranet.corp nær yfir git.intranet.corp og nær ekki yfir corp.intranet, og að snúa því við er algengasta mistökin í allri uppsetningunni. Windows ber vörpunina sem nafnupplausnarstefnu sem er fest við sniðið, með eigin forgangsröð gagnvart hvaða viðskeytalista sem viðmótið hafði þegar. Apple-kerfi festa samsvörunarlén við DNS-stillingahlut netlengingarinnar, og kerfið beitir þeim fyrir hvern afmarkaðan leysi. Ekkert þessara forma er leið, og ekkert þeirra getur gert óaðgengilegt vistfang aðgengilegt. Tilvísunin nafnupplausnarstefna Windows telur upp reitheitin og forgangsreglurnar fyrir þann vettvang, og þær eru ekki þær sem skjöl Apple eða systemd nota.
Rétt svar þarf samt leið
Svar leysis er aðeins vistfang, og forritið verður samt að komast þangað. Skipt gönguhönnun ýtir oft 10.20.0.0/16 og heldur eftir sjálfgefnu leiðinni, svo innra nafnið leysist og tengingin hangir svo. Hitt tilvikið er jafn algengt: leiðin er til, opinber leysir svarar einkanafninu með NXDOMAIN, og bilanin er skráð sem leiðarstýringarvandamál. Að prófa leiðina fyrst skilur þig eftir að stara á leiðir fyrir nafn sem aldrei átti að leysa.
Það er líka þriðja hlið sem hvorugur helmingurinn nær yfir. ACL á gátt, eldveggsregla eða stefna á biðlarahlið getur sleppt tengingunni eftir að báðar ákvarðanir voru réttar. Þegar nafnið leysist, leiðin er til og tengingin rennur samt út, hættu að prófa DNS.
Prófa nöfn og leiðir í föstum röðum
Veldu röð og haltu þér við hana, annars eltir þú skrefið sem mistókst síðast. Leystu skjalfesta fulla innra nafnið, staðfestu að svarið sé vistfang sem leiðartöflunni getur borið, og endurtaktu svo með opinberu nafni til að sanna að göngin hafi ekki gripið allt. Á systemd-hýsli eru fyrirspurnin og leiðarstýrilén leysisins einni skipun hvor frá öðru:
resolvectl query intranet.corp
resolvectl domain
ip route get 10.20.5.10Windows-biðlari spyr sömu tveggja spurninga með öðrum cmdlet-um. Seinna skipunin greinir frá viðmótinu sem kerfið myndi í raun nota:
Resolve-DnsName intranet.corp -Type A
Find-NetRoute -RemoteIPAddress 10.20.5.10Ef uppflettingin skilar vistfangi og leiðarprófið nefnir líkamlega viðmótið, þá virkaði nafnreglan og leiðin ekki. Ef stutta nafnið mistekst á meðan fulla nafnið leysist, er viðskeytalistinn rangur en ekki leysirinn.
Hvar samanburðurinn fer yfirleitt úrskeiðis
Fyrsta mistökin er að spyrja ótengdan opinberan leysi um einkanafn og lesa synjunina sem sönnun um VPN. Önnur er að gera ráð fyrir að virk opinber uppfletting sanni leysileið ganganna. Þriðja er að meðhöndla skipt göng og skipt DNS sem eina hönnunarákvörðun, þótt uppsetning geti verið rétt í öðru og brotin í hinu. Sérhver mistök gefa sjálfsöruggar ályktanir úr prófi sem æfði aldrei hlutann sem er kennt um.
Vafri með sitt eigið örugga DNS getur líka farið fram hjá kerfisreglunni, þess vegna er það ekki mótsögn að einn vafri mistekst á meðan annar tekst. Berðu saman leysinn sem svaraði, ekki vafrann sem kvartaði.
Þegar báðir helmingarnir eru sýnilegir er spurningin sem eftir er stefnuspurning en ekki tæknileg: hvaða nafnrými tilheyra samtökunum, hver á hvert svar og hver þeirra ættu að yfirgefa vélina yfirleitt. Skrifaðu það við hlið sniðsins, því næsta manneskja sem snertir regluna mun þurfa á því að halda.