mDNS bannent enger VPN: firwat .local-Nimm sech net opléisen

Den Drockmaschinn vun Ärem Büro erschéngt an all Applikatioun op Ärem Schreifdësch a verschwënnt op der VPN, och wann Dir d’Adress kënnt, déi se huet, pinge kënnt. Am Tunnel ass näischt futti: Entdeckung an Accessibilitéit sinn getrennt Servicer, a just een vun hinnen iwwerquiert standardméisseg en gerouteten Tunnel. D’Kontrollen hei drënner trenne se, ier Dir ufänkt, Weeër derbäizesetzen. E Wee kann eng Ufro net reparéieren, déi ni de Link verlooss huet.

Préift wat haut sech opléist a wat just opgeléist ausgesäit

Trennt als éischt déi zwou Froen: eng Unicast-Ufro fir en Hostnumm freet e Resolver, wärend eng Sich no _ipp._tcp de lokale Link freet. Ënner Linux weist avahi-browse -a wat Multicast-DNS ka gesinn, an resolvectl query name.local weist wat de Resolver-Stack mat deem Numm mécht. Ënner macOS listet dns-sd -B _ipp._tcp entdeckt Servicer op, ouni datt eng Adress als éischt gebraucht gëtt.

Wann d’Adress äntwert an den Numm net, funktionéiert Routing an d’Entdeckung net. En Numme vun .local kann och um Host selwer iwwer nss-mdns beäntwert ginn, ouni datt avahi-browse installéiert ass, also ass e gelungenen getent oder ping op dee Numm kee Beweis, datt d’Entdeckung den Tunnel iwwerquiert huet; d’Sichresultat an d’Resolver-Resultat sinn ënnerschiddlech Beweiser. Applikatioune cache dat, wat se entdeckt hunn, dofir erschéngt de Feeler dacks Stonnen nom Verbannen an net beim Verbannen. Maacht d’Applikatioun zou a maacht se erëm op, a préift dann, ob de gecachte Saz en Numm oder eng Adress enthält, well eng Adress nach laang funktionéiert, nodeems d’Entdeckung opgehal huet.

Firwat d’Ufro ni den Tunnel iwwerquiert

Multicast DNS schéckt Ufroe op 224.0.0.251, bannent dem Steierblock vum lokale Netz, op den UDP-Port 5353. Routeren transferéieren d’Adressen aus deem Block net, dofir bleift d’Ufro op deem Link, op dee se geschéckt ginn ass. D’Sender setzen och den IP-TTL, oder de IPv6-Hop-Limit, op 255, sou datt en Empfänger e Paket ka refuséieren, deen schonn en Router iwwerquiert huet; sou erkennt de Protokoll Off-Link-Spoofing, net sou bleift et lokal. D’Lokalitéit kënnt vun der Destinatiounsadress, net vun engem TTL vun engem Hop.

Den Tunnels-Typ ass och wichteg. En Interface am tun-Stil transportéiert IP-Paketen an näischt aneschtes, dofir iwwerlieft keng Multicast-Grupp en. Eng Bréck am tap-Stil erweidert d’Broadcast-Domän selwer, dofir hunn e puer al Designe bréckelt anstatt geroutet, an huet all Problemer geierft, déi eng Bréck bréngt.

Eng Ausnam fir eng vertrauten LAN ännert näischt dovu, well se decidéiert, wéi ee Traffic den Tunnel däerf benotzen, anstatt dem Tunnel bäizebréngen, Multicast weiderzeschécken. De Paket huet nach ëmmer kee gemeinsamt Segment, op deem en héierbar ass.

Wielt en Nummdesign, deen Dir kënnt droen

Fir Firmenressourcen ass déi dauerhaft Äntwert en gerouteten Hostnumm, deen de Resolver, deen d’VPN dréckt, servéiert, mat split DNS, sou datt intern Nimm op intern Serveren ginn an alles anescht net. Windows weist dat als Tabell fir Nummresolutiounspolitik, macOS benotzt limitéiert Resolver pro Interface, a meescht Cliente hunn eng gläichwäerteg Dréck-Astellung. D’Gerät behält säin normale Numm am internen DNS, an d’Entdeckung ophält, Deel vum Wee ze sinn.

En Entdeckungsproxy oder en mDNS-Reflektor kann d’Lück iwwerbrécken, an et ass en echte Design mat sengem eegenen Host, senger eegener Expositioun a senge eigenen Ufuerderunge fir Cliente. Et erschéngt net, well Dir e Wee derbäi gesat hutt. Leet ni .local-Ufroe weider un e ëffentleche Resolver: d’Domain ass fir lokal Multicast-Benotzung duerch RFC 6762 reservéiert, an se no baussen ze schécken féiert zu luesen Feeler an zu onnéideger Offenbarung vun Daten.

Verifizéiert de Service, net den Numm

En Numm an enger Sichlëscht beweist den Entdeckungsschratt, net datt de Service äntwert. Maacht d’Drockqueue oder d’Webinterface op a fëllt eng richteg Operatioun of, a widderhëlt se no enger Neiverbindung.

D’Entdeckung cachet Nimm aggressiv, dofir kann en ale Saz wéi en Erfolleg ausgesinn. Wann en Zertifikat oder eng Authentifikatiounsufro erschéngt, ass dat déi nächst Schicht an e separaten Problem. Schreift op, wéi ee Mechanismus Dir geännert hutt, Resolver oder Entdeckung, sou datt déi nächst Persoun net déi ganz Fro erëm muss opmaachen.