Ички аттар VPN аркылуу ачылбайт, ал эми ачык сайттар кадимкидей ачылат

Бир колдонуучу интранет хост аты VPN аркылуу чечилбей жатканын билдирет. Ошол эле ноутбуктан келген экинчи билдирүү агып кетүү тести дагы эле жергиликтүү чечүүчү жооп берген суроолорду көрсөтөрүн айтат. Алар бир маселе болуп угулат, бирок эки, далилдери башка, жана биринчисине кадимки оңдоо экинчисин начарлатат. Параметрге тийүүдөн мурун аларды ажыратыңыз.

Бир бузулуу эмес эки симптом

Ички атты чече албастык суроо ага жообу жок жерге кеткенин билдирет. Туннелден чыгып кеткен суроолор жооп жеткиликтүү болгон учурда да суроо туура эмес жерге кеткенин билдирет. Булар карама-каршы бузулуулар: бири жетишпеген жооп, экинчиси ашыкча барар жер.

Тузак мында: кеңсе чечүүчүсүн бардык жерге кошуу биринчисин оңдойт жана экинчисин кепилденген түрдө жаратат. Ачык чечүүчүнү бардык жерге кошуу тескерисинче таасир этет.

Эки байкоону тең убакыт белгиси менен жазып алыңыз, анан төмөнкү төрт текшерүүнү ирети менен аткарыңыз.

Кайсы адаптердин чечүүчүсү суроону алат

Windows-то DNS кардары серверлерди адаптерлердин байланышуу иретине жараша тандайт, ал эми туннел адаптери автоматтык түрдө биринчи боло бербейт. Адаптердин кошумча параметрлерин ачып, алыскы жетүү байланышын физикалык адаптердин үстүнө жылдырыңыз, анан өзгөртүү жаңы сеанска колдонулушу үчүн кайра туташыңыз.

Байланышуу ирети — болгону биринчи жарымы. Кардар кайсы аттар ошол адаптерге таандык экенин да билүүсү керек, ал эми бул иреттүүлүк эмес, суффикс маселеси.

Иштеп жаткан машинанын ipconfig /all ноутбуктагысы менен катар коюңуз, экөө тең туннел көтөрүлгөн учурда алынган. Иштеп жаткан машина кеңсе адаптеринде байланышка мүнөздүү DNS суффиксин көрсөтөт, ал эми ноутбук туннелде эч нерсе көрсөтпөшү мүмкүн. Бул айырма «сервер ушул жерде, ал эми ат дагы эле чечилбейт» деген билдирүүлөрдүн бүтүндөй классын түшүндүрөт, анткени суффикссиз кыска ат кеңсе чечүүчүсү тейлеген зонага чейин эч качан толукталбайт.

Кыска атка маршруттан мурун суффикс керек

Такталбаган хост атын териш чечүүчүдөн доменди болжолдоону сурайт. Болжол байланышка тиркелген суффикстер тизмесинен келет, эгер ал тизме бош болсо, суроо бир белги катары чыгып кетет жана ага эч бир жеке зона дал келбейт.

Иштеп жаткан машинанын суффиксин DNS өтмөгүндөгү VPN адаптеринин IPv4 касиеттерине көчүрүп, анан кайра туташыңыз. Linux-те барабар нерсе — туннел шилтемесиндеги издөө домени, аны systemd-resolved глобалдык эмес, шилтеме боюнча сунуштайт.

Эки параметрди жазууларыңызда өзүнчө кармаңыз. Суффикс эмнени сураарын өзгөртөт; чечүүчү дареги кимден сураарын өзгөртөт. Бирөөнү оңдоп, экинчиси туура эмес болсо, натыйжа туш келди көрүнөт.

Чечүүчүдөн түз сураңыз, анан аттан

Кеңсе чечүүчүсүнө түз суроо ат маселесин жол маселесинен ажыратат, анткени ал кардардын чечүүчү тандоосун толугу менен айланып өтөт.

nslookup intranet.corp.example 10.20.0.53
nslookup intranet
resolvectl status

Биринчи буйрук конкреттүү серверден толук квалификацияланган атты сурайт. Эгер жооп берсе, чечүүчү жана ага баруучу жол иретинде, ал эми бузулуу тандоодо же суффиксте. Эгер убакыт бүтсө, дарек туура эмес же жеткиликсиз, ошондо маселе DNS-те эмес, маршруттоодо. Экинчи буйрук кыска ат менен эмне болорун көрсөтөт, ал эми үчүнчүсү systemd хостунда шилтеме боюнча чечүүчү конфигурациясын басып чыгарат.

Жапайы карта жоопторуна көңүл буруңуз, кээ бир тармактар аларды белгисиз аттарга кайтарат. Ишенимдүү көрүнгөн жооп көздөлгөн сервер жооп бергенин далилдебейт, ошондуктан кайтарылган даректи ички кызмат чындыгында колдонгон дарек менен салыштырыңыз. Эгер дарек токтоп турган баракка же проксиге таандык болсо, чечүүчү жооп берди, бирок жооп эч качан сиздики болгон эмес. Бул айырма бүт убакыт иштеп турган туннелди кууган бир саатты үнөмдөйт.

Linux-те /etc/resolv.conf кайра жазган VPN кардары жергиликтүү чечүүчүлөрдү толугу менен алмаштырат. vpnc муну токтотуу үчүн DNSUpdate no сунуштайт, ал эми systemd-resolved тизмеленген домендерди гана туннел шилтемесине багыттай алат. Эки ыкма тең ачык аттарды жергиликтүү чечүүчүдө калтырып, ички аттарды кеңсеге жөнөтөт.

Агуу — белги эмес, эреже

Ат чечүү — 53 портуна UDP алмашуу, ошондуктан веб-трафикти ташып, UDP-ны ташыбаган туннел суроону физикалык жолдо калтырат. Ачык ат чечилип жатканда физикалык NIC-те тартып далилдеңиз. Ошол интерфейсте окула турган түрдө көрүнгөн суроо туннел аны ташыбай жатканын билдирет.

sudo tcpdump -ni eth0 -c 20 'udp port 53'
resolvectl query example.com

Эгер суроо ошол интерфейсте окула турган түрдө пайда болсо, туннел аны ташыбайт. Оңдоо — 53 портуна VPN берген чечүүчүгө гана уруксат берип, башка барар жерлерди таштаган эреже, кошо берилген опцияны үнсүз таштабаган кардар конфигурациясы.

Бул акыркы бөлүк көрүнгөндөн да маанилүүрөөк. OpenVPN-ди route-nopull кошуп иштетсеңиз, тартуу чыпкасын кеңейтип кармабасаңыз, берилген DNS опциясы маршруттар менен кошо жоголот. Ал эми dhcp-option DNS көңүл бурбаган кардар мурункусун колдонууну улантат. Сервер тарабындагы ар кандай өзгөртүү жаңы сеансты талап кылат, анткени чечүүчүлөр тизмеси туннел көтөрүлгөндө жеткирилет жана эскирген сеанс эски абалды көрсөтө берет.

Билетти жаппастан мурун кайсы бузулууну чындыгында байкаганыңызды жазыңыз. Жетишпеген ички жооп жана туннелден качып чыккан суроо башкача оңдоону талап кылат, ал эми биринчисин оңдогон суффикс өзгөртүүсү экинчисин үнсүз начарлашы мүмкүн. Билетти кийинки алган адам белгиге ишенет, ошондуктан белгини так кылыңыз.