I nomi host VPN falliscono, gli indirizzi IP funzionano: dove guardare

Puoi aprire la condivisione tramite l’indirizzo e la stessa condivisione tramite il nome fallisce, il che significa che il tunnel trasporta pacchetti e lo strato dei nomi no. Quella sola osservazione risparmia un giro attraverso modifiche al firewall e alle rotte. I nomi richiedono un suffisso, un resolver e un percorso per la query, e un client VPN può installare una rotta senza installare nessuno dei tre. Segui i quattro controlli qui sotto in ordine e fermati al primo che si rompe.

Un nome pone una domanda che un indirizzo non pone

Un indirizzo è una destinazione che lo stack può usare subito. Un nome breve è una domanda che va estesa con un suffisso, inviata a un resolver e fatta rispondere da qualcosa che conosce la zona. Un tunnel che installa rotte ma nessun resolver lascia il primo funzionante e il secondo rotto. Per questo il sintomo sembra così coerente su prodotti VPN molto diversi.

Lavora dall’indirizzo verso l’esterno: prima il nome completo, poi il nome host nudo, e annota quale dei tre funziona. Lo schema ti dice quale strato ispezionare prima di aprire una singola schermata di configurazione. Indovinare le rotte quando il FQDN si risolve è fatica sprecata.

Leggi il resolver che il tunnel ha davvero installato

Chiedi al sistema operativo quale resolver gestisce le query per la zona interna, non quale annuncia l’interfaccia del client VPN. Un server che impone un resolver pubblico senza zona interna produce esattamente questo guasto, ed è un errore di configurazione e non un guasto di routing.

resolvectl status
nslookup fileserver.corp.example
nslookup fileserver

Su un client Windows aggiunto al dominio, i criteri di routing dello spazio dei nomi decidono quali query vanno a quale resolver, e le impostazioni DNS dell’adattatore VPN compaiono nei dettagli dell’adattatore. Leggi i criteri effettivi e non il profilo, perché criteri memorizzati nella cache possono sopravvivere alla connessione che li ha installati. Se il resolver risponde al nome completo e non al nome breve, il problema si è già spostato all’elenco dei suffissi.

Get-DnsClientNrptPolicy
ipconfig /all

Fermati se la zona interna si risolve attraverso il server giusto. Il resolver non è il tuo problema.

I suffissi spiegano i nomi brevi che falliscono

Un nome a etichetta singola viene esteso con l’elenco dei suffissi della connessione prima che la query parta. Se la VPN non consegna il suffisso interno, fileserver non diventa mai fileserver.corp.example, e la query esce come un nome che nessun resolver pubblico conosce. Imporre il suffisso, o digitare il nome completo, verifica l’ipotesi senza cambiare nulla sul server.

nslookup fileserver.corp.example
ping -a 192.168.50.20

Su Linux il servizio resolver lega un server DNS a un collegamento e a un insieme di domini di routing, così un server imposto che non è associato al collegamento del tunnel si comporta come se non ci fosse. Controlla lo stato per collegamento invece del file stub, che potrebbe indicare solo il resolver locale. La stessa spaccatura compare nella direzione opposta: un dominio di ricerca presente ma non applicato all’interfaccia del tunnel produce guasti di nomi brevi che sembrano casuali.

Se aggiungere il suffisso risolve, resta da consegnare quel suffisso tramite il profilo VPN invece di chiedere a ogni utente di digitarlo.

NetBIOS e WINS sono un altro meccanismo

L’SMB vecchio può ancora cercare un nome nudo con il servizio nomi NetBIOS, che risponde in broadcast o tramite un server WINS. Il broadcast resta dentro un dominio di broadcast e si ferma al primo router, quindi non può attraversare un tunnel; WINS funziona perché il client ha un indirizzo unicast con cui registrarsi e a cui chiedere. Per questo una VPN che trasporta solo IP può ancora supportare i nomi vecchi quando WINS è configurato e raggiungibile.

nbtstat -n
nbtstat -R

Per l’SMB moderno affidati al DNS e al nome completo, e manda in pensione il vecchio percorso. Se è davvero vecchio, fornisci WINS o sostituisci l’applicazione; la via di mezzo è una coda di supporto che non si svuota mai.

Il percorso finisce quando puoi dire quale strato ha fallito: resolver, suffisso o scoperta vecchia. Annota il resolver che ha risposto e la forma del nome che ha funzionato, perché la persona successiva partirà dallo stesso sintomo.