Wéi eng Verbindung äntwert: Routing-Domänen fir Split-Tunnel-VPN-DNS

Halt dat normale Surfen op der lokaler Verbindung, wärend d’Firmennimm iwwer den DNS-Server opgeléist ginn, deen den Tunnel ubitt. D’Standardroute vum VPN ausschalten gëtt dir déi éischt Halschent a léisst déi zweet ongebaut. Derno kommen déi fehlend Astellung, d’Satzzeechen dat hir Bedeitung ännert, an deen eenzege Kommando deen weist wéi eng Verbindung tatsächlech geäntwert huet. NetworkManager a systemd-resolved ginn iwwerall ugeholl, well genau dës Koppel d’Plaz ass wou d’Verwirrung normalerweis ufänkt.

Éischte Schrëtt: trennt d’Route vum Resolver

ipv4.never-default äntwert op eng Routingfro a verhënnert datt NetworkManager dës Verbindung als de Wee fir de ganze IPv4-Trafic installéiert. Eng DNS-Routing-Domän äntwert op eng aner Fro: wéi eng Numm-Server vun wéi enger Verbindung eng Ufro fir en passenden Sufix kréien. Keng vun deenen zwee setzt déi aner viraus, an e Profil kann eng dovun joerelaang droen, wärend déi aner feelt. Nëmmen d’Route heescht datt den Tunnel d’Firmesubnetzer dréit an säi Resolver op d’Firmennimm äntwert, wärend alles anescht onberéiert bleift.

Setzt nëmmen d’Route-Eigenschaft, an intern Nimm schloen feel, meeschtens mat engem Timeout deen no engem futtisse Tunnel kléngt. Setzt nëmmen d’Domän, an du hues roueg en Sichsufix op all kuerzen Numm op der Maschinn bäigefüügt. Béid Feeler schécken den Ticket op de VPN-Server, deen seelen deen Deel ass deen falsch ass.

Zweeten Schrëtt: füügt eng nëmme-Routing-Domän op de Profil derbäi

Unzehuelen d’Verbindung heescht corp-vpn, de Firmesufix ass internal.example, an de Resolver vum Tunnel ass schonn erreechbar. Liest fir d’éischt déi aktuell Wäerter, well d’Kommandos drënner Eigenschaften änneren, déi schonn Anträg kënnen hunn.

nmcli connection show corp-vpn | grep -E 'dns-search|never-default'
nmcli connection modify corp-vpn +ipv4.dns-search '~internal.example'
nmcli connection modify corp-vpn ipv4.never-default yes

Ersetzt duerch däin eegene Verbindungsnumm an däi Sufix, well d’Wäerter uewe sinn illustrativ. D’Pluszeechen ass wichteger wéi et ausgesäit: domat gëtt de Wäert un déi existéierend Lëscht ugehangen, wärend d’Eigenschaft ouni et ersat gëtt an onverbonnen Domänen aus engem Profil verschwannen dee gëschter nach funktionéiert huet. D’Tilde ännert d’Verhalen an net de Stil, an den Absaz drënner beschreift wat se auswielt. Halt d’Liesen virum Schreiwen, sou datt d’Ersetzungsform dech ni iwwerrascht.

Eng Tilde am Ufank markéiert eng nëmme-Routing-Domän, also ginn passend Ufroe op d’Server vun dëser Verbindung an de Sufix gëtt net u kuerz Nimm ugehangen. Huelt d’Tilde ewech, an déi selwecht Zeecheketten gëtt och en Sichsufix, wat en anert Resultat ass dat d’Leit seelen intenéieren. Béid Astellungen uewe sinn IPv4, also brauch en Dual-Stack-Profil ipv6.never-default an déi selwecht Routing-Domän an ipv6.dns-search, soss benotzt d’IPv6-Säit weider d’Standardroute an intern Nimm schloen do feel.

Drëtte Schrëtt: frot resolvectl wéi eng Verbindung geäntwert huet

Féiert resolvectl status aus a liest d’DNS-Server an Domänen vun all Verbindung, da féiert resolvectl query host.internal.example géint en echte internen Numm aus deen dir befrot ze froen. Den zweete Kommando ass deen eenzegen direkte Beweis datt d’Routing-Domän hir Aarbecht mécht, well en nennt d’Verbindung déi geäntwert huet. Eng Statuslëscht eleng beweise d’Konfiguratioun; d’Ufro beweise d’Opléisung.

systemd-resolved wielt déi bescht passend Routing-Domän, also kann eng méi spezifesch Domän op enger anerer Verbindung de Concours nach gewannen. Wann d’Ufro vun enger Verbindung zréckkënnt déi du net erwaart hues, liest d’Domänlëschten ier s de VPN sengen DNS-Server beréiers. Eng Root-Domän vun ~. passt op alles, a wann se schonn do ass, gewënnt deng spezifesch Domän nach ëmmer fir hir eege Nimm, wärend d’Verbindung vill méi äntwert wéi s de gefrot hues. Huelt dee Root-Antrag ewech oder enk en an, wann d’Absicht nëmmen d’Firmennimm war.

Wann d’VPN-Verbindung guer keen DNS-Server oplëscht, huet de Client ni een registréiert. Eng Routing-Domän ouni Server hannendrun schléit anescht feel wéi eng fehlend Domän, also reparéier fir d’éischt d’Registréierung.

Véierte Schrëtt: wann den Numm sech opléist awer de Service net

Eng korrekt Äntwert beweise just datt d’Opléisung fonctionnéiert huet, an d’Applikatioun brauch nach ëmmer eng Route op d’Adress déi se kritt huet. Déi Route muss déi gedeelt Standardroute iwwerliewen déi s de just konfiguréiert hues, also kontrolléier se ier s de DNS nach eng Kéier beschëllegst. Duerno kontrolléier d’Erreechbarkeet um Port vum Service, well eng Dateifreigabe oder en Verzeechnisservice bei der Opléisung, beim Routing oder bei der Authentifizéierung feel schléit an an all Fall ganz ähnlech Message gëtt. Halt déi dräi Schichten getrennt wann s de d’Resultat mellst, soss kontrolléiert déi nächst Persoun DNS nach eng Kéier dee schonn richteg war.

D’Samba-Ännerung déi nieft dëser Fro zirkuléiert betrëfft d’Zougriffsschicht, net d’DNS-Wiel. Se op e Nummopléisungsfehler uwenden ass wéi e klengt Problem en zweet kritt.

Fënnefte Schrëtt: ersetzt den Resolver net fir eng fehlend Domän ze reparéieren

Rotschléi déi d’Resolver-Datei iwwerschreiwen oder en aneren Resolver-Manager installéieren léisen en anert Problem. Dat sinn Systemintegratiounsännerungen mat hiren eegenen Ausfallmodi, an keng dovun füügt eng Routing-Domän derbäi déi ni konfiguréiert gouf. Bestëmmt wéi eng Komponent d’Nummopléisung op der Maschinn besëtzt ier s de se ersetzt, well op engem NetworkManager-Desktop mat systemd-resolved ass dee Besitz schonn definéiert. Dogéint ze kämpfen ass wéi eng funktionéierend Astellung eppes gëtt dat keen reproduzéiere kann.

Aarbechtsuerdnung: bestätegt datt den Tunnel en Resolver ubitt, füügt d’nëmme-Routing-Domän derbäi, verbënnt iech iwwer d’Profilkontrollen nei, verifizéiert d’Verbindung déi äntwert, an test dann de Service op sengem Port. Déi Reiefolleg hannerléisst en Resultat dat s de ouni en zweet Gespréich un déi nächst Persoun kënns weiderginn.