OpenVPN арқылы бөлінген DNS: әрбір операциялық жүйеде маршруттау домені не істеуі керек

Бөлінген DNS сұранысының әрқайсысы бір сөйлемнен басталады: компания атаулары компанияның DNS-іне барады, қалғаны бәрі жұмысын жалғастырады. Сол сөйлемді конфигурацияға айналдыру әр операциялық жүйе үшін үш сұраққа жауап беруді білдіреді, ал жауаптар әрқайсысында әртүрлі механизмдерді пайдаланады. Linux ноутбугінде жұмыс істейтін профильдер Windows-та көбінесе туннельге қатысы жоқ себептермен сәтсіз аяқталады. Айырмашылық әдетте маршрут деп қабылданған шешуші баптауы болып табылады.

Алдымен саясатты атаңыз, содан кейін оны білдіретін платформа примитивін таңдаңыз.

Шатастыруға оңай үш баптау

Іздеу суффиксі қысқа атауды кеңейтеді: files деп терген кезде шешуші суффикстерді ретімен қолданғанда ол files.corp.example болады. Маршруттау домені атау кеңістігі ішіндегі сұраныстарға қай шешуші жауап беретінін таңдайды. IP маршруты таңдалған шешушіні ғана қолжетімді етеді. Бұл үшеуі әртүрлі қабаттарда өмір сүреді, ал біреуін екіншісімен алмастыру дұрыс көрінетін және ештеңе шешпейтін конфигурация береді.

Шатасудың құны бар: іздеу суффиксін қосу әр қысқа атауды жұмыс шешушісіне жібереді, оның ішінде басқа жерге тиесілі атаулар да бар. Маршруттау доменін таңдау байланысы жоқ сұраныстарды жергілікті шешушіде ұстап, соған қарамастан *.corp.example туннель арқылы жібереді.

Linux: тек маршруттық домен, іздеу суффиксі емес

systemd-resolved жүйесінде тильдамен басталатын домен тек маршруттық домен болып табылады, яғни сол атау кеңістігіне сұраныстар байланысқан шешушіге барады және іздеу суффиксіне де айналмайды. resolvectl domain tun0 '~corp.example' мұны орнатады, ал resolvectl dns tun0 10.8.0.1 серверді атайды. Екі баптау да интерфейске тиесілі, сондықтан онымен бірге жоғалады. Тильда — адамдар қалдырып кететін бөлік, онсыз қысқа атаулар жұмыс шешушісі арқылы шешіле бастайды.

Сол доменді ғаламдық іздеу суффиксі ретінде де орнатпаңыз. Екі баптау артық емес; біреуі маршруттайды, екіншісі тергеніңізді қайта жазады.

Windows-қа атау кеңістігі саясаты керек, суффикс емес

Windows бөлінген DNS саясатын Name Resolution Policy Table ішінде ұстайды, адаптердің DNS суффиксінде емес. Ереже атау кеңістігін нақты серверлерге байланыстырады: Add-DnsClientNrptRule -Namespace .corp.example -NameServers 10.8.0.1. Тек суффиксті орнату қысқа атаулардың көрінісін өзгертеді; ол сұранысты басқа серверге бағыттамайды.

Қосылғаннан кейін Get-DnsClientNrptPolicy көмегімен әрекеттегі саясатты тексеріңіз, өйткені бұрынғы қосылымның ережесі туннельден ұзақ өмір сүруі мүмкін. Туннель өшкенде ережелерді аты бойынша жойыңыз және тазалау дұрыс жазбаға тиюі үшін көрсетілетін атауды тұрақты ұстаңыз.

Әр платформаға бір шешуші иесі

Жұмыс үстелі менеджері, OpenVPN up-скрипті және жергілікті шешуші демоны бірдей конфигурацияны жазуға тырысуы мүмкін. Олар келіспесе, соңғы жазған жеңеді және нәтиже бөлшектеу ретіне байланысты. Шешуші күйіне ие болатын бір құрамдасты таңдаңыз, қалғандары жазудың орнына хабарласын, және қайта қосылуды сынап көріңіз: саясат ережелерді қайталамай оны көтеруі керек. Ажыратуды да сынаңыз, өйткені қалған күй келесі қосылымды басқаша ұстайды.

Өз шифрланған шешушісін бірге алып жүретін қолданбалар операциялық жүйенің саясатын мүлдем елемейді. Бұл қолданбаның қасиеті, туннельдегі ақау емес.

Нәтижені тексеріңіз, профиль мәтінін емес

Туннель арқылы өтуі керек бір атауды және өтпеуі керек бір атауды әр платформада шешіп, қай сервер жауап бергенін растаңыз. resolvectl query host.corp.example және Resolve-DnsName host.corp.example екеуі де жауап берген серверді хабарлайды. Қайта қосылғаннан кейін қайталаңыз. Содан кейін туннель шешушісінің профиль жіберетін мекенжай бойынша қолжетімді екенін растаңыз, өйткені қолжетімсіз серверге сілтейтін дұрыс саясат саясат мүлде болмағандай сәтсіз аяқталады.

Мақсатты мінез-құлықты профиль жазбаларына тіркеңіз: қай суффикс маршруттайды, қай сервер оған жауап береді және қалғанының бәріне не болады. Келесі қолдайтын платформаңызға конфиг файлынан гөрі сол сөйлем көбірек керек болады.