openfortivpn iwwerschreift ëmmer erëm DNS? Fannt den eigentlechen Eegentemer

Follegt der Verbindung vum Moment un, wou se eropkënnt: de Client authentifizéiert sech, pppd verhandelt, an duerno schreift eppes DNS-Astellungen an de Betribssystem. Wann Dir just wësst, datt d'VPN Ären Resolver geännert huet, wësst Dir nach net, wéi eng vun deene Stufen et gemaach huet. Zwee vun hinnen kënnen, an op engem Client mat der dokumentéierter pppd-Integratioun lafen se no genuch beienee fir wéi een eenzegen Akteur auszesinn. Den Schreiwer ze nennen ass den éischte Schrëtt; säin Ersatz ze wielen ass den zweeten, an dat ass eng separat Entscheedung mat hirem eegene Feelerverhalen.

D'Reiefolleg hei drënner follegt de Client no baussen: wat d'Verbindung geännert huet, wéi ee Schalter wéi ee Schreiwer ënnerdréckt, wien iwwerhuele soll an wéi Dir bestätegt, datt d'Resultat eng Neiverbindung iwwerlieft. All Stuf hannerlésst eng aner Spuer, an d'Spuer ass et, wat Iech seet, ob d'Iwwerleeferung wierklech geschitt ass.

Fänkt domat un, wat d'Verbindung tatsächlech geännert huet

Verbannt Iech eng Kéier mat Ärem gewinnten Opruff a vergläicht d'Opléisung virdrun an duerno. Op engem Linux-Host mat systemd-resolved dréckt resolvectl status d'DNS-Serveren an d'Sichdomänen pro Verbindung aus, an eng nei tun- oder ppp-Verbindung mat hiren eegenen Servere ass den Äerzefanger vun enger Aktualiséierung vun der Clientsäit. Op macOS weist scutil --dns d'Resolvers-Konfiguratioun an der Reiefolleg, an där d'Applikatiounen se consultéieren.

Vergläicht dat mat der Datei, vun där Dir erwaart hutt, datt se sech ännert. En Uschloss-gebonnenen Aschreiwung an der Vue pro Verbindung an eng nei geschriwwen /etc/resolv.conf sinn zwee verschidde Resultater, an dat zweet kann e symbolesche Link sinn, deen eppes ganz anescht verwalt. Notéiert d'Resolversadress, d'Sichdomänen an den Interface-Numm am selwechte Moment; eng Ännerung an engem vun hinnen deit op en anere Schreiwer. Ouni dës Basislinie ass all spéider Korrektur eng Viraussetzung doriwwer, wéi ee vun dräi Komponenten sech geréckelt huet.

Déi zwee Schalter an de Schreiwer, deen all eenzel zum Schweige bréngt

openfortivpn dokumentéiert e Optiounsfragment, dat béid Schreiwer ausschalt, déi et kontrolléiere kann, an all Schalter huet en ausgeschriwwenen Equivalent, deen d'Handbuch als déiselwecht Astellung behandelt.

openfortivpn gw.example.com:443 --no-dns --pppd-no-peerdns
# written out in long form
openfortivpn gw.example.com:443 --set-dns=0 --pppd-use-peerdns=0

--no-dns hält de Client dovun of, d'DNS-Servere vun der Paart unzewennen, déi hie geléiert huet, während --pppd-no-peerdns pppd hält, de Peer-DNS an de System ze drécken. D'Handbuch vun upstream warnt, datt DNS-Aktualiséierunge iwwer PPP mat de Client sengen eegenen DNS-Aktualiséierunge kënnen a Concours trieden, dofir gehéieren béid Schalter an d'Fragment, amplaz datt ee vun hinne als genuch ugesi gëtt.

Keen Schalter nennt en Ersatzresolver, an keen hält en Netzwierkmanager, en DHCP-Client oder eng separat VPN-Integratioun dovun of, duerno Opléisung ze schreiwen. Zwee Schreiwer zum Schweigen ze bréngen léisst d'Feld oppen amplaz besëtzt. Wann eng drëtt Komponent schonn DNS verwalt, ännert d'Fragment näischt, wat Dir beobachte kënnt; wann näischt et verwalt, hutt Dir just déi eenzeg Quell vun privater Nummopléisung ewechgeholl. Dat ass nëmmen eng gülteg Arrangement, wann den Ersatz-Eegentemer als éischten erausgesicht an eleng getest gouf.

Wielt den Eegentemer, ier Dir eppes desaktivéiert

Entscheet als éischten, wien d'Ufroen fir Aarbechtsnimm beäntwert, well dës Wiel alles duerno aschränkt. Den existéierende Resolver ze behalen heescht, datt d'privat Zon schonn erreechbar muss sinn, vun wou de Client och sëtzt, an en private Resolver am Büro brauch eng Route, déi d'Eropkomme vum Tunnel iwwerlieft. All Ufro un een internen Service ze schécken ass eng drëtt Politik mat engem méi schaarfem Feelerverhalen: wann dee Service net erreechbar ass, fale ëffentlech Nimm zesumme mat de privaten.

D'Route-Eegentum bleift bewosst getrennt. D'Routeoptioune sinn net néideg, well Dir DNS geännert hutt, an d'Routeinstallatioun auszeschalten, ouni en Ersatz z'installéieren, kann de Resolver, deen Dir just erausgesicht hutt, onerreechbar maachen. Kontrolléiert d'Routingtabell spezifesch fir d'Resolversadress, net nëmme fir de Subnetz vun der Applikatioun, deen Dir zoufälleg getest hutt.

Kontrolléiert d'Opléisung pro Verbindung, net pro Datei

En eenzelen /etc/resolv.conf ass keen Inventaire dovun, wat Applikatiounen tatsächlech benotzen op engem Host mat limitéierter oder pro-Domän-Opléisung, also liest den Zoustand vum Resolver esou, wéi d'Plattform en offenleet.

resolvectl status
resolvectl query vpn.internal.example.com
resolvectl query example.com
ip route get 10.20.0.53

Frot en private Numm an en ëffentlechen Numm, soubal d'Verbindung erop ass, a notéiert, wéi eng Verbindung op jiddwereen geäntwert huet. Wou d'VPN-Verbindung eng Sichlëscht pro Domän dréit, kann e private Numm korrekt opgeléist ginn, während en ëffentlechen Numm nach ëmmer op de lokale Resolver geet, an dës Opdeelung ass den Design, deen funktionéiert, an net e Feeler. Wann d'privat Ufro feelt, iwwerpréift d'Route zum Resolver, ier Dir DNS nach eng Kéier beréiert; wann se geléngt, während eng Applikatioun nach ëmmer feelt, liest d'Applikatioun vläicht hire eigenen, gecachte oder separat konfiguréierte Resolver.

Verbannt Iech nei a bestätegt den ofgetrennten Zoustand

Huelt d'Verbindung erof a widderhëlt béid Ufroen. Wat den erausgesichten Eegentemer installéiert huet, soll vun deem Eegentemer ewechgeholl oder restauréiert ginn, net vum Client, deen Dir zum Schweigen bruecht hutt, hannerlooss ginn. En veralterten Aschreiwung pro Verbindung, déi den Tunnel iwwerlieft, schéckt weider privat Ufroen un eng Adress, déi net méi erreechbar ass.

Verbannt Iech duerno nei a liest déiselwecht dräi Wäerter nach eng Kéier: Resolversadress, Sichdomänen, Interface.

Wann se mat der Politik iwwereneestëmmen, déi Dir opgeschriwwen hutt, ass d'Iwwerleeferung komplett an de VPN-Client ass net méi ee vun de Schreiwer. Wann e Wäert e puer Sekonnen nom Eropkomme vun der Verbindung zréck drifft, applizéiert nach ëmmer eppes anescht Konfiguratioun, an den nächsten Schrëtt ass déi Komponent z'identifizéieren amplaz nach eng Fändel bäizesetzen. Den Endzoustand, deen Dir wëllt, ass ouni Evenementer: een Eegentemer, eng dokumentéiert Politik an en ofgetrennten Host, deen genau esou opléist wéi virdrun, wou den Tunnel nach net existéiert huet.