Gespléckten DNS iwwer OpenVPN: wat eng Routing-Domän op all Betribssystem maache muss

All Ufro fir gespléckten DNS fänkt mat demselwe Saz un: Nimm vun der Firma ginn un den DNS vun der Firma, alles anescht funktionéiert weider. Dee Saz an eng Konfiguratioun ëmsetzen heescht dräi Froen pro Betribssystem ze beäntweren, an d’Äntwerten benotzen op all eenzel verschidde Mechanissmen. Profiler, déi op engem Linux-Laptop funktionéieren, versoen dacks op Windows aus Grënn, déi näischt mam Tunnel ze dinn hunn. Den Ënnerscheed ass meeschtens eng Resolver-Astellung, déi fir eng Route gehal gëtt.

Nennt d’Politik als éischt, a wielt dann de Plattform-Primitiv, deen se ausdréckt.

Dräi Astellungen, déi liicht ze verwiesselen sinn

E Sichsuffix erweidert e kuerzen Numm: files tippen gëtt files.corp.example, wann de Resolver d’Suffixe mateneen a Reiefolleg probéiert. Eng Routing-Domän wielt, wéi e Resolver d’Ufroe bannent engem Nummraum beäntwert. Eng IP-Route mécht just de gewielte Resolver erreechbar. Déi dräi liewen a verschiddene Schichten, a wann een dat engt duerch dat anert ersetzt, entsteet eng Konfiguratioun, déi richteg ausgesäit an näischt opléist.

D’Verwiesselung huet e Präis: e Sichsuffix derbäisetzen schéckt all kuerzen Numm un de Resolver vun der Aarbecht, och Nimm, déi sossien engem anere Beräich gehéieren. Eng Routing-Domän ze wielen hält onverbonnen Ufroe beim lokalen Resolver an schéckt trotzdem *.corp.example duerch den Tunnel.

Linux: eng nëmmen-Route-Domän, keen Sichsuffix

Op systemd-resolved ass eng Domän mat enger Tilde virun enger nëmmen-Route-Domän, dat heescht, Ufroe fir deen Nummraum ginn un de verbonnenen Resolver ouni och e Sichsuffix ze ginn. resolvectl domain tun0 '~corp.example' setzt dat, an resolvectl dns tun0 10.8.0.1 nennt de Server. Béid Astellungen gehéieren zum Interface, also verschwannen se mat him. D’Tilde ass den Deel, deen d’Leit vergiessen, an ouni si fänken déi kuerz Nimm un, iwwer de Resolver vun der Aarbecht opgeléist ze ginn.

Installéiert déi selwecht Domän och net als globale Sichsuffix. Déi zwou Astellungen sinn net iwwerflësseg; déi eng routéiert, déi aner schreift ëm, wat Dir getippt hutt.

Windows brauch eng Nummraum-Politik, keen Suffix

Windows hält d’Politik vum gespléckten DNS an der Name Resolution Policy Table, net am DNS-Suffix vum Adapter. Eng Regel verbënnt en Nummraum mat bestëmmte Serveren: Add-DnsClientNrptRule -Namespace .corp.example -NameServers 10.8.0.1. Just de Suffix astellen ännert, wéi kuerz Nimm ausgesinn; et leet d’Ufro net op en anere Server ëm.

Iwwerpréift déi effektiv Politik mat Get-DnsClientNrptPolicy no der Verbindung, well eng Regel vun enger fréierer Verbindung den Tunnel kënnt iwwerliewe. Entfernt d’Regelen nom Numm, wann den Tunnel fält, an halt den Unzeigenumm stabil, sou datt d’Botzen déi richteg Androung trëfft.

Halt ee Resolver-Besëtzer pro Plattform

En Desktop-Manager, en OpenVPN-Up-Skript an en lokalen Resolver-Daemon kënnen alleguer probéieren, déiselwecht Konfiguratioun ze schreiwen. Wa se sech net eens sinn, gewënnt de leschte Schreifwedder an d’Resultat hänkt vun der Rei vum Ofbau of. Wielt eng Komponent, déi de Resolver-Zoustand besëtzt, loosst déi aner berichten anstatt ze schreiwen, a testt eng Neiverbindung: d’Politik sollt et iwwerstoen, ouni Regelen ze verdobbelen. Testt och eng Trennung, well de Rescht vum Zoustand ass, wat déi nächst Verbindung anescht mécht.

Applikatiounen, déi hire eigenen encrypted Resolver matbréngen, ignoréieren d’Politik vum Betribssystem komplett. Dat ass eng Eegenschaft vun der Applikatioun, keen Defekt am Tunnel.

Iwwerpréift d’Resultat, net den Text vum Profil

Léist een Numm, deen duerch den Tunnel soll, an een, deen net soll, op all Plattform, a bestätegt, wéi e Server geäntwert huet. resolvectl query host.corp.example an Resolve-DnsName host.corp.example berichten allebéid de Server, deen geäntwert huet. Widderhëlt et no enger Neiverbindung. Bestätegt dann, datt de Resolver vum Tunnel op der Adress erreechbar ass, déi de Profil dréckt, well eng richteg Politik, déi op en onerreechbare Server weist, op déiselwecht Manéier versot wéi keng Politik.

Notéiert dat gewënschte Verhalen an den Notizen vum Profil: wéi e Suffix routéiert, wéi e Server et beäntwert an wat mat allem aneschte geschitt. Déi nächst Plattform, déi Dir ënnerstëtzt, brauch dee Saz méi wéi d’Konfiguratiounsdatei.