OpenVPN аркылуу бөлүнгөн DNS: ар бир операциялык системада маршруттоо домени эмне кылышы керек

Бөлүнгөн DNS суроосунун ар бири бир эле сүйлөм менен башталат: компаниянын аттары компаниянын DNS'ине барат, калганынын баары иштей берет. Ошол сүйлөмдү конфигурацияга айландыруу ар бир операциялык система үчүн үч суроого жооп берүүнү билдирет, ал эми жооптор ар биринде башка механизмдерди колдонот. Linux ноутбугунда иштеген профилдер Windows'то көбүнчө туннелге эч кандай тиешеси жок себептерден улам ишке ашпайт. Айырма адатта маршрут деп кабыл алынган резолвер жөндөөсү болуп саналат.

Алгач саясатка ат коюңуз, анан аны туюндурган платформа примитивин тандаңыз.

Аралаштырууга оңой үч жөндөө

Издөө суффикси кыска атты кеңейтет: files деп жазганда резолвер суффикстерди ирети менен сынаганда ал files.corp.example болуп калат. Маршруттоо домени ат мейкиндигинин ичиндеги суроолорго кайсы резолвер жооп берерин тандайт. IP маршруту тандалган резолверди гана жеткиликтүү кылат. Бул үчөө ар башка катмарларда жашайт, ал эми бирин экинчиси менен алмаштыруу туура көрүнгөн жана эч нерсени чечпеген конфигурацияны берет.

Аралашуунун баасы бар: издөө суффиксин кошуу ар бир кыска атты жумуш резолверине жиберет, анын ичинде башка жакка таандык аттар да бар. Маршруттоо доменин тандоо байланышсыз суроолорду жергиликтүү резолверде кармап, ошентсе да *.corp.example туннел аркылуу жиберет.

Linux: издөө суффикси эмес, маршруттук гана домен

systemd-resolved'до тильда менен башталган домен маршруттук гана домен болуп саналат, башкача айтканда ошол ат мейкиндигине суроолор байланган резолверге барат жана издөө суффиксине да айланбайт. resolvectl domain tun0 '~corp.example' муну коёт, ал эми resolvectl dns tun0 10.8.0.1 серверди атайт. Эки жөндөө тең интерфейске таандык, ошондуктан аны менен бирге жок болот. Тильда — адамдар калтырып кетчү бөлүк, ансыз кыска аттар жумуш резолвери аркылуу чечиле баштайт.

Ошол эле доменди глобалдык издөө суффикси катары да орнотпоңуз. Эки жөндөө ашыкча эмес; бири маршруттайт, экинчиси жазганыңызды кайра жазат.

Windows'ко ат мейкиндигинин саясаты керек, суффикс эмес

Windows бөлүнгөн DNS саясатын Name Resolution Policy Table'да сактайт, адаптердин DNS суффиксинде эмес. Эреже ат мейкиндигин белгилүү серверлерге байланыштырат: Add-DnsClientNrptRule -Namespace .corp.example -NameServers 10.8.0.1. Суффиксти гана коюу кыска аттардын көрүнүшүн өзгөртөт; ал суроону башка серверге багыттабайды.

Туташкандан кийин Get-DnsClientNrptPolicy менен аракеттеги саясатты текшериңиз, анткени мурунку туташуунун эрежеси туннелден узак жашашы мүмкүн. Туннел өчкөндө эрежелерди аты боюнча алып салыңыз жана тазалоо туура жазууга тийиши үчүн көрсөтүү атын туруктуу кармаңыз.

Ар бир платформа үчүн бир резолвер ээси

Иш такта менеджери, OpenVPN up-скрипти жана жергиликтүү резолвер демону баары бирдей конфигурацияны жазууга аракет кылышы мүмкүн. Алар макул болушпаса, акыркы жазган жеңет жана натыйжа ажыратуу тартибине көз каранды. Резолвер абалына ээ боло турган бир компонентти тандаңыз, калгандары жазгандын ордуна кабарлашсын, жана кайра туташууну сынап көрүңүз: саясат эрежелерди кайталабастан ага туруштук бериши керек. Ажыратууну да сынаңыз, анткени калган абал кийинки туташууну башкача алып жүрүүгө мажбурлайт.

Өзүнүн шифрленген резолверин ала келген колдонмолор операциялык системанын саясатын толугу менен этибарга албайт. Бул колдонмонун касиети, туннелдеги кемчилик эмес.

Натыйжаны текшериңиз, профилдин текстин эмес

Туннелден өтүшү керек бир атты жана өтпөшү керек бир атты ар бир платформада чечип, кайсы сервер жооп бергенин ырастаңыз. resolvectl query host.corp.example жана Resolve-DnsName host.corp.example экөө тең жооп берген серверди кабарлайт. Кайра туташкандан кийин кайталаңыз. Андан кийин туннелдин резолвери профиль жиберген даректе жеткиликтүү экенин ырастаңыз, анткени жетүү мүмкүн эмес серверди көрсөткөн туура саясат саясат такыр жок учурдагыдай эле ишке ашпайт.

Көздөлгөн жүрүм-турумду профилдин жазууларына жазыңыз: кайсы суффикс маршруттайт, кайсы сервер ага жооп берет жана калганынын баарына эмне болот. Кийинки колдой турган платформаңызга конфиг файлынан көрө ошол сүйлөм көбүрөөк керек болот.