File resolver macOS per un dominio locale accanto a una VPN

La VPN di lavoro risolve perfettamente i nomi aziendali mentre la stampante di casa resta irraggiungibile per nome, e la soluzione abituale a cui si ricorre è puntare l’intero Mac al router di casa. È un cambiamento molto più grande di quanto richieda il problema. macOS può inviare un singolo suffisso DNS al proprio server tramite un piccolo file resolver, lasciando ogni altra risoluzione esattamente dov’era.

Il confine dei permessi viene prima: questo vale per un dominio che amministri o che sei stato autorizzato a configurare. Non è una via per aggirare la politica DNS imposta da un’organizzazione o le sue restrizioni di rete locale.

Un file con un compito ristretto

Supponi che la zona locale sia lab.example.org e che il suo server risponda su 192.168.55.1. Su un Mac in cui ti è consentito apportare la modifica, un amministratore crea un file di testo semplice il cui nome è il dominio stesso, /etc/resolver/lab.example.org, contenente una sola riga nameserver 192.168.55.1. La cartella potrebbe non esistere su un sistema nuovo, quindi creala con privilegi di amministratore e guarda prima di scrivere, nel caso un software di gestione possieda già un file lì.

La documentazione di Apple sulla configurazione del resolver riporta la convenzione secondo cui è il nome del file a fornire il dominio quando all’interno del file non compare un’impostazione di dominio separata. Quella regola di denominazione è l’intero trucco, ed è per questo che il file deve prendere il nome della zona e non quello del server.

Come macOS sceglie tra i resolver

Più di un client resolver può essere attivo, e vince il dominio corrispondente più specifico. Un resolver per lab.example.org ha quindi un ambito diverso da quello predefinito, e un sottodominio più specifico con un proprio file può riprendere la precedenza. È questo che consente a una VPN di lavoro di mantenere il proprio suffisso mentre la tua zona lab va altrove. Nulla di questo assetto è globale, ed è il punto che vale la pena ricordare.

Lascia in pace /etc/resolv.conf. macOS scrive quel file da solo, e non ha mai contenuto il quadro completo della risoluzione specifica per dominio. La configurazione può anche arrivare dal database di configurazione di sistema invece che dai file in questa cartella, ed è per questo che un profilo di gestione può sovrascrivere ciò che hai scritto.

Tre cose che il file non può fornire

Il server deve essere raggiungibile. Se la VPN blocca la rete locale, o una route aziendale intercetta l’intervallo di indirizzi del server, un file di suffisso perfettamente corretto non riesce comunque a consegnare una query. Porta il problema al responsabile della rete invece di ampliare da solo le eccezioni locali.

La zona deve contenere la risposta giusta, e la cosa migliore è verificarla con un nome completo come printer.lab.example.org. Un nome breve può attivare il comportamento dei domini di ricerca e finire per porre una domanda diversa da quella che volevi porre.

Infine, l’applicazione deve poter usare la risposta. Risolvere il nome di una stampante non concede l’accesso al suo indirizzo, e non apre il servizio che c’è dietro. L’indirizzo restituito richiede comunque una route consentita e una politica di accesso che permetta la connessione. Un file resolver cambia dove viene risolto un nome; non riserva un percorso per il risultato.

Verifica la selezione invece di sostituire il DNS

Controlla cosa sta effettivamente usando macOS in questo momento, e interroga il nome completo dall’interno dell’applicazione stessa o da uno strumento che risolve come fanno le applicazioni. Una query diretta su 192.168.55.1 dimostra che il server risponde; non dimostra che macOS abbia scelto quel server per le risoluzioni ordinarie. Sono fatti diversi, e solo il secondo descrive ciò che il tuo browser sperimenterà.

Se un altro resolver rivendica già lo stesso suffisso, scopri chi lo possiede prima di aggiungere indicazioni di priorità. L’impostazione documentata search_order ordina i client che condividono un dominio; non è un interruttore di preferenza globale che fa vincere ogni query a un resolver generico.

Conferma che i nomi aziendali si risolvono ancora con la VPN connessa, poi annota il file e il suo scopo nei tuoi appunti locali. Quando l’assetto viene ritirato, elimina solo quel file e ricontrolla entrambi gli spazi dei nomi invece di reimpostare tutte le impostazioni DNS di rete.