გაყოფილი DNS OpenVPN-ის გავლით: რა უნდა გააკეთოს მარშრუტიზაციის დომენმა თითოეულ ოპერაციულ სისტემაზე

გაყოფილი DNS-ის ყოველი მოთხოვნა ერთი და იმავე წინადადებით იწყება: კომპანიის სახელები კომპანიის DNS-ზე მიდის, დანარჩენი ყველაფერი აგრძელებს მუშაობას. იმ წინადადების კონფიგურაციად გადაქცევა ნიშნავს სამ კითხვაზე პასუხის გაცემას თითოეული ოპერაციული სისტემისთვის, და პასუხები თითოეულში სხვადასხვა მექანიზმს იყენებს. პროფილები, რომლებიც Linux-ის ლეპტოპზე მუშაობს, ხშირად ვერ მუშაობს Windows-ზე იმ მიზეზების გამო, რომლებსაც ტუნელთან არაფერი აქვს საერთო. სხვაობა ჩვეულებრივ მარშრუტად მიჩნეული რეზოლვერის პარამეტრი არის.

ჯერ დაასახელეთ პოლიტიკა, შემდეგ აირჩიეთ პლატფორმის ის პრიმიტივი, რომელიც გამოხატავს მას.

სამი პარამეტრი, რომელთა არევაც ადვილია

ძიების სუფიქსი აფართოებს მოკლე სახელს: files აკრეფისას ის ხდება files.corp.example, როცა რეზოლვერი სუფიქსებს რიგრიგობით ცდის. მარშრუტიზაციის დომენი ირჩევს, რომელი რეზოლვერი პასუხობს სახელთა სივრცის შიგნით არსებულ მოთხოვნებს. IP მარშრუტი მხოლოდ ხელმისაწვდომს ხდის არჩეულ რეზოლვერს. ეს სამი სხვადასხვა ფენაში ცხოვრობს და ერთის მეორეთი ჩანაცვლება იძლევა კონფიგურაციას, რომელიც სწორად გამოიყურება და არაფერს წყვეტს.

დაბნეულობას ფასი აქვს: ძიების სუფიქსის დამატება ყოველ მოკლე სახელს სამუშაო რეზოლვერთან აგზავნის, მათ შორის იმ სახელებს, რომლებიც სხვა ადგილს ეკუთვნის. მარშრუტიზაციის დომენის არჩევა დაუკავშირებელ მოთხოვნებს ლოკალურ რეზოლვერზე ტოვებს და მაინც აგზავნის *.corp.example ტუნელით.

Linux: მხოლოდ მარშრუტული დომენი, არა ძიების სუფიქსი

systemd-resolved-ზე ტილდით დაწყებული დომენი მხოლოდ მარშრუტული დომენია, რაც ნიშნავს, რომ ამ სახელთა სივრცის მოთხოვნები დაკავშირებულ რეზოლვერთან მიდის და ამავდროულად ძიების სუფიქსადაც არ იქცევა. resolvectl domain tun0 '~corp.example' აყენებს ამას, და resolvectl dns tun0 10.8.0.1 ასახელებს სერვერს. ორივე პარამეტრი ინტერფეისს ეკუთვნის, ამიტომ მასთან ერთად ქრება. ტილდა ის ნაწილია, რომელსაც ხალხი გამოტოვებს, და მის გარეშე მოკლე სახელები სამუშაო რეზოლვერის მეშვეობით იწყებს ამოხსნას.

ნუ დააყენებთ იმავე დომენს აგრეთვე გლობალურ ძიების სუფიქსად. ორივე პარამეტრი ზედმეტი არ არის; ერთი მარშრუტიზაციას აკეთებს, მეორე კი თქვენს აკრეფილს გადაწერს.

Windows-ს სჭირდება სახელთა სივრცის პოლიტიკა, არა სუფიქსი

Windows გაყოფილი DNS-ის პოლიტიკას Name Resolution Policy Table-ში ინახავს, არა ადაპტერის DNS სუფიქსში. წესი სახელთა სივრცეს კონკრეტულ სერვერებს უკავშირებს: Add-DnsClientNrptRule -Namespace .corp.example -NameServers 10.8.0.1. მხოლოდ სუფიქსის დაყენება ცვლის მოკლე სახელების იერს; ის მოთხოვნას სხვა სერვერისკენ არ მიმართავს.

შეამოწმეთ მოქმედი პოლიტიკა Get-DnsClientNrptPolicy-ით დაკავშირების შემდეგ, რადგან წინა კავშირის წესი ტუნელზე დიდხანს შეიძლება გადარჩეს. წაშალეთ წესები სახელით, როცა ტუნელი ვარდება, და შეინარჩუნეთ ჩვენების სახელი სტაბილურად, რომ გასუფთავებამ სწორ ჩანაწერს მოხვდეს.

ერთი რეზოლვერის მფლობელი თითოეულ პლატფორმაზე

სამუშაო მაგიდის მენეჯერი, OpenVPN-ის up სკრიპტი და ლოკალური რეზოლვერის დემონი ყველას შეუძლია სცადოს ერთი და იმავე კონფიგურაციის ჩაწერა. როცა ისინი არ თანხმდებიან, იმარჯვებს ბოლო მწერალი და შედეგი დემონტაჟის რიგზეა დამოკიდებული. აირჩიეთ ერთი კომპონენტი რეზოლვერის მდგომარეობის მფლობელად, დაე, სხვებმა მოხსენება გააკეთონ წერის ნაცვლად, და შეამოწმეთ ხელახალი დაკავშირება: პოლიტიკამ უნდა გადაიტანოს ის წესების გაორმაგების გარეშე. შეამოწმეთ გათიშვაც, რადგან დარჩენილი მდგომარეობაა ის, რაც შემდეგ კავშირს სხვაგვარად აიძულებს მოიქცეს.

აპლიკაციები, რომლებიც თან მოაქვთ საკუთარი დაშიფრული რეზოლვერი, მთლიანად უგულებელყოფენ ოპერაციული სისტემის პოლიტიკას. ეს აპლიკაციის თვისებაა, არა ტუნელის ხარვეზი.

შეამოწმეთ შედეგი, არა პროფილის ტექსტი

ამოხსენით ერთი სახელი, რომელიც ტუნელში უნდა გაიაროს, და ერთი, რომელიც არ უნდა, თითოეულ პლატფორმაზე, და დაადასტურეთ, რომელი სერვერი უპასუხა. resolvectl query host.corp.example და Resolve-DnsName host.corp.example ორივე აცნობებს პასუხისმგებელ სერვერს. გაიმეორეთ ხელახალი დაკავშირების შემდეგ. შემდეგ დაადასტურეთ, რომ ტუნელის რეზოლვერი ხელმისაწვდომია იმ მისამართზე, რომელსაც პროფილი უგზავნის, რადგან მიუწვდომელ სერვერზე მიმთითებელი სწორი პოლიტიკა ისე ვარდება, როგორც პოლიტიკის არარსებობა.

ჩაწერეთ განზრახული ქცევა პროფილის შენიშვნებში: რომელი სუფიქსი მარშრუტიზაციას აკეთებს, რომელი სერვერი პასუხობს მას და რა ხდება დანარჩენ ყველაფერზე. შემდეგ პლატფორმას, რომელსაც მხარს დაუჭერთ, უფრო მეტად დასჭირდება ეს წინადადება, ვიდრე კონფიგის ფაილი.