Бөлүнгөн DNS жана VPN: домен эрежелери IP маршруттары эмес
Бөлүнгөн DNS чечүүчүнү ат боюнча тандайт, ал эми жоопко дагы эле маршрут керек. Домен эрежесин жана жолду өзүнчө, чындыгында колдонгон платформада текшериңиз.
Ноутбугуңуз intranet.corpту туннель аркылуу чечет, ал эми gitlab.com провайдердин чечүүчүсүнө бара берет, жана бул долбоорлонгондой иштеген курулуш. Аны эки өзүнчө чечим жаратты: ат дал келүү эрежеси чечүүчүнү тандады, ал эми маршрут жоопту кайра алып келди. Кайсынысын болсо да бузсаңыз, браузер сырттан бирдей көрүнгөн бузулууну көрсөтөт. Бөлүнгөн DNS тууралуу баяндамалардын көбү экинчи бузулууну сүрөттөп, ошол эле учурда биринчиси жөнүндө далил келтирет.
Эки жарым ар башка жерде жашайт жана адатта аларды ар башка адамдар редакциялайт. Бирөө VPN профилине тиркелген DNS саясаты, экинчиси туннель орноткон же кармап турган маршрут. Эч ким кайсы жарым чындыгында жылганын аныктабаса, оңдоо токтойт.
Бир суроодо жашырылган эки чечим
Ат жарымы маршрут эмес, саясат объектиси. Windowsто бул VPN профилиндеги атты чечүү саясаты; Apple платформаларында DNS жөндөөлөр объектиндеги дал келүүчү домендер жыйнагы; Linuxто маршруттоо домени, бөлүнгөн чечүүчү сабы же ат кызматы которгучунун тартиби. Жол жарымы туннель же кол менен орнотулган кадимки маршруттоо, ал хост атынын эмне экенин билбейт. Уландыга жол берген профиль ким жооп берерин гана чечет; ал жоопту эч качан жеткиликтүү кылбайт.
Тез симптом тести аларды ажыратат: атты дарек менен алмаштырыңыз. Дарек иштесе, жол туура, эреже ката. Дарек да иштебесе, эреже туура, жол жетишпеген болушу мүмкүн.
Ар бир платформа бирдей ат эрежесин кантип билдирет
Максат бирдей, талаа аттары андай эмес. Бир кардардан экинчисине көчүрүлгөн мисал таза талданат жана эч качан дал келбейт. Үч форма мындай көрүнөт:
| Platform | Where the rule lives | What usually breaks |
|---|---|---|
| Windows | name-resolution policy on the VPN profile | precedence against the interface suffix list |
| Apple platforms | match domains on the DNS settings object | domains attached to the wrong extension |
| Linux | routing domain, split resolver, nsswitch order | the suffix written the wrong way round |
Дал келүү же маршруттоо домени уланды тести, ошондуктан intranet.corp git.intranet.corpту камтыйт жана corp.intranetты камтыбайт, ал эми аны тескери которуу бүт конфигурациядагы эң кеңири тараган ката. Windows картаны профилге тиркелген атты чечүү саясаты катары алып жүрөт, интерфейсте мурунтан бар уландылар тизмесине каршы өзүнүн артыкчылык тартиби менен. Apple платформалары дал келүүчү домендерди тармактык кеңейтүүнүн DNS жөндөөлөр объектисине тиркейт, ал эми система аларды ар бир чектелген чечүүчүгө колдонот. Бул формалардын эч бири маршрут эмес жана эч бири жеткиликсиз даректи жеткиликтүү кыла албайт. Windows атты чечүү саясаты маалымдамасы ошол платформанын талаа аттарын жана артыкчылык эрежелерин тизмелейт, жана алар Apple же systemd документтери колдонгон эрежелер эмес.
Туура жоопко дагы эле жол керек
Чечүүчүнүн жообу жөн гана дарек, ал эми колдонмо ага дагы эле жетиши керек. Бөлүнгөн туннель дизайны көбүнчө 10.20.0.0/16ны түртөт жана демейки маршрутту кармап калат, ошондуктан ички ат чечилет, анан байланыш илинип калат. Тескери учур да ошондой эле кеңири тараган: маршрут бар, ачык чечүүчү жеке атка NXDOMAIN менен жооп берет, ал эми бузулуу маршруттоо көйгөйү катары жазылат. Адегенде жолду текшерүү сизди эч качан чечилбей турган аттын маршруттарына каратып калтырат.
Эки жарым тең камтыбаган үчүнчү дарбаза да бар. Шлюздеги ACL, брандмауэр эрежеси же кардар тараптагы саясат эки чечим тең туура болгондон кийин байланышты таштай алат. Ат чечилсе, маршрут бар болсо жана байланыш дагы эле убакытты бүтүрсө, DNS текшерүүнү токтотуңуз.
Аттарды жана жолдорду туруктуу тартипте текшерүү
Тартип тандап, аны карманыңыз, болбосо акыркы жолу ийгиликсиз болгон кадамдын артынан жүгүрөсүз. Документтелген толук ички атты чечиңиз, жооп маршрут таблицасы көтөрө алган дарек экенин ырастаңыз, анан туннель баарын кармап калбаганын далилдөө үчүн ачык ат менен кайталаңыз. systemd хостунда суроо менен чечүүчүнүн маршруттоо домени бир буйрук аралыкта:
resolvectl query intranet.corp
resolvectl domain
ip route get 10.20.5.10Windows кардары ошол эки суроону башка cmdletтер менен берет. Экинчиси система чындыгында колдоно турган интерфейсти билдирет:
Resolve-DnsName intranet.corp -Type A
Find-NetRoute -RemoteIPAddress 10.20.5.10Издөө дарек кайтарса жана жолду текшерүү физикалык интерфейсти атаса, ат эрежеси иштеди, маршрут иштеген жок. Кыска ат ийгиликсиз болуп, толук ат чечилсе, уландылар тизмеси ката, чечүүчү эмес.
Салыштыруу адатта кайда ката кетирет
Биринчи ката байланышы жок ачык чечүүчүдөн жеке ат жөнүндө сурап, баш тартууну VPN жөнүндө далил деп окуу. Экинчиси иштеген ачык издөө туннелдин чечүүчү жолун далилдейт деп ойлоо. Үчүнчүсү бөлүнгөн туннелди жана бөлүнгөн DNSти бир дизайн чечими деп эсептөө, ал эми жайгаштыруу биринде туура, экинчисинде бузук болушу мүмкүн. Ар бир ката айыпталган бөлүктү эч качан машыктырбаган тесттен ишенимдүү тыянак чыгарат.
Өз коопсуз DNSи бар браузер да система эрежесин айланып өтө алат, ошондуктан бир браузер ийгиликсиз болуп, экинчиси ийгиликтүү болушу карама-каршылык эмес. Жооп берген чечүүчүнү салыштырыңыз, нааразы болгон браузерди эмес.
Эки жарым тең көрүнгөндө, калган суроо техникалык эмес, саясат суроосу: кайсы ат мейкиндиктери уюмга таандык, ар бир жооптун ээси ким жана алардын кайсынысы машинадан такыр чыгышы керек. Муну профилдин жанына жазыңыз, анткени эрежеге кийинки тийген адамга бул керек болот.