Intern Nimm schloen iwwer de VPN feel, wärend ëffentlech Säite gutt opgeléist ginn

Een Nutzer mellt, datt den Intranet-Hostnumm iwwer de VPN net opgeléist gëtt. En zweeten Rapport, vum selwechte Laptop, seet, datt en Leak-Test nach ëmmer Ufroe weist, déi vum lokale Resolver beäntwert goufen. Si kléngen no engem eenzege Problem a sinn der zwee, mat verschiddenen Indizien, an déi üblech Reparatur vum éischten mécht den zweeten nach méi schlëmm. Trenns si, ier du eng Astellung beréiers.

Zwee Symptomer, déi keen eenzege Feeler sinn

Et net fäerdeg ze bréngen, en internen Numm opzeléisen heescht, datt d'Fro enger Plaz gaangen ass, déi keng Äntwert drop huet. Ufroen, déi den Tunnel verloossen, heeschen, datt d'Fro op déi falsch Plaz gaangen ass, och wann d'Äntwert disponibel war. Dat si géigendeel Feeler: ee fehlend Äntwert, deen aneren en zousätzlecht Zil.

De Fallstrack ass, datt de Resolver vum Büro iwwerall dobäizesetzen den éischten fléckt an den zweeten garantéiert. En ëffentleche Resolver iwwerall dobäizesetzen mécht dat Géigendeel.

Schréif béid Observatiounen mat engem Zäitstempel op, an da schaff duerch déi véier Prüfungen hei ënnen an der Rei.

Wéien Adapter säi Resolver d'Fro kritt

Op Windows wielt den DNS-Client d'Serveren no der Bindungsreiefolleg vun den Adapter, an den Tunnel-Adapter ass net automatesch op éischter Plaz. Op d'Avancéiert Astellunge vum Adapter a réck d'Remote-Access-Verbindung iwwer de physeschen Adapter, a verbann dech dann nei, esou datt d'Ännerung op eng frësch Sessioun gëllt.

D'Bindungsreiefolleg ass just déi éischt Halschent. Den Client muss och wëssen, wéi eng Nimm zu deem Adapter gehéieren, an dat ass eng Fro vum Suffix a net vun der Reiefolleg.

Setz ipconfig /all vum funktionéierende Rechner nieft dee vum Laptop, allebéid opgeholl, wärend den Tunnel steet. De funktionéierende Rechner wäert en verbindungsspezifeschen DNS-Suffix um Büro-Adapter weisen, a beim Laptop kann et um Tunnel keen eenzege sinn. Dee Verschidd erkläert eng ganz Klass vu Rapportën «de Server ass direkt do an den Numm schléit nach ëmmer feel», well ouni Suffix de kuerzen Numm ni zu der Zone ergänzt gëtt, déi de Büro-Resolver servéiert.

E kuerzen Numm brauch e Suffix, éier en eng Route brauch

En onqualifizéierten Hostnumm anzeginn heescht, de Resolver ze froen, eng Domain ze roden. D'Rotschléi kommen aus der Lëscht vu Suffixen, déi un der Verbindung hänken, an wann déi Lëscht eidel ass, geet d'Ufro als een eenzege Label eraus, deen keng privat Zone wäert treffen.

Kopéier de Suffix vum funktionéierende Rechner an d'IPv4-Eegenschafte vum VPN-Adapter op der DNS-Tab, a verbann dech dann nei. Op Linux ass dat Gläichwäerteg d'Search-Domain um Tunnel-Link, déi systemd-resolved pro Link an net global exponéiert.

Halt déi zwou Astellungen an dengen Notizen getrennt. E Suffix ännert, wat gefrot gëtt; d'Adress vum Resolver ännert, wien gefrot gëtt. Déi eng ze flécken, wärend déi aner falsch ass, produzéiert en Resultat, dat zoufälleg schéngt.

Fro de Resolver direkt, an dann den Numm

Eng direkt Ufro un de Resolver vum Büro trennt e Problem vum Numm vun engem Problem vum Wee, well se d'Auswiel vum Resolver am Client komplett ëmgeet.

nslookup intranet.corp.example 10.20.0.53
nslookup intranet
resolvectl status

Déi éischt Kommando freet e bestëmmte Server no engem vollqualifizéierten Numm. Wann en äntwert, si de Resolver an de Wee dohinner an der Rei an de Feeler läit an der Auswiel oder am Suffix. Wann et en Timeout gëtt, ass d'Adress falsch oder net erreechbar an de Problem ass Routing an net DNS. Déi zweet Kommando weist, wat mam kuerzen Numm geschitt, an déi drëtt dréckt d'Resolver-Konfiguratioun pro Link op engem systemd-Host.

Pass op virun Wildcard-Äntwerten, déi verschidden Netzwierker fir onbekannt Nimm zréckschécken. Eng Äntwert, déi plausibel ausgesäit, ass kee Beweis, datt dee virgesiene Server geäntwert huet, also vergläich déi zréckgeliwwe Adress mat där, déi den internen Service tatsächlech benotzt. Wann d'Adress zu enger Parkplaz-Säit oder engem Proxy gehéiert, huet de Resolver geäntwert, awer d'Äntwert war ni deng. Dee Verschidd spuert eng Stonn, an där s du engem Tunnel nojuegss, deen déi ganz Zäit geschafft huet.

Op Linux ersetzt e VPN-Client, deen /etc/resolv.conf ëmschreift, d'lokal Resolver komplett. vpnc exponéiert DNSUpdate no fir dat ze stoppen, a systemd-resolved kann nëmmen déi opgelëscht Domaineen op den Tunnel-Link routeieren. Béid Approche loossen ëffentlech Nimm um lokale Resolver a schécken intern Nimm an de Büro.

Leaks sinn eng Regel, net eng Këscht zum Ukräizen

Numm-Opléisung ass en UDP-Austausch op Port 53, also en Tunnel, deen Web-Traffic dréit awer keen UDP, léisst d'Ufro um physesche Wee. Beweis et, andeems s du um physeschen NIC capture, wärend en ëffentlechen Numm opgeléist gëtt. Eng Ufro, déi op deem Interface liesbar ze gesinn ass, heescht, datt den Tunnel se net dréit.

sudo tcpdump -ni eth0 -c 20 'udp port 53'
resolvectl query example.com

Wann d'Ufro op deem Interface liesbar erschéngt, dréit den Tunnel se net. D'Reparatur ass eng Regel, déi de Port 53 nëmmen un de Resolver erlaabt, deen de VPN geliwwert huet, an aner Ziler verwerft, plus eng Client-Konfiguratioun, déi déi geliwwert Optioun net stëll verwerft.

Dee leschten Deel ass méi wichteg, wéi en ausgesäit. Start OpenVPN mam route-nopull a mat deenen de geliwwerten DNS-Optioun verschwënnt zesumme mat de Routen, ausser de Pull-Filter gëtt erweidert, fir se ze behalen. An e Client, deen dhcp-option DNS ignoréiert, wäert weiderhi benotzen, wat en virdrun hat. All Ännerung op der Serversäit brauch eng frësch Sessioun, well d'Lëscht vun de Resolveren gëtt geliwwert, wann den Tunnel eropkënnt, an eng al Sessioun weist weider deenen ale Stand.

Halt fest, wéie Feeler s du tatsächlech observéiert hues, ier s du den Ticket zoumaachst. Eng feelend intern Äntwert an eng Ufro, déi aus dem Tunnel entkommt, verlaangen ënnerschiddlech Reparaturen, an eng Suffix-Ännerung, déi déi éischt fléckt, kann déi zweet gerai verschlëmmeren. Wien den Ticket duerno iwwerhëlt, wäert dem Label vertrauen, also maach de Label korrekt.