Split-DNS a VPN: Domainregelen sinn keng IP-Routen

Ären Laptop léist intranet.corp iwwer den Tunnel op, während gitlab.com weiderhi bei den Resolver vum Provider geet, an dat ass d'Konfiguratioun, déi wéi entworfen funktionéiert. Zwee getrennt Entscheidunge hunn et gemaach: eng Numm-Match-Regel huet den Resolver gewielt, an eng Route huet d'Äntwert zréckbruecht. Brécht ee vun deenen zwee a de Browser weist e Fehler, deen vun dobausse gläich ausgesäit. Déi meescht Berichter iwwer Split-DNS beschreiwen den zweeten Fehler an zitéieren dobäi Beweiser iwwer den éischten.

Déi zwou Hälften liewen op verschiddene Plazen a ginn normalerweis vu verschiddene Leit editéiert. Déi eng ass eng DNS-Politik um VPN-Profil, déi aner ass eng Route, déi den Tunnel installéiert oder zréckhält. Den Debuggen hält un, wann keen etabléiert wéi eng Hälft sech tatsächlech beweegt huet.

Zwee Entscheidungen an enger Ufro verstoppt

D'Nummhälft ass e Politikobjekt, keng Route. Op Windows ass et eng Numm-Opléisungspolitik um VPN-Profil; op Apple-Plattforme eng Rei vun Abgläichsdomänen un engem DNS-Astellungeobjekt; op Linux eng Routingdomän, eng opgedeelt Resolverlinn oder d'Reiefolleg vum Numm-Service-Schalter. D'Weehälft ass gewéinlech Routing, vum Tunnel oder vun Hand installéiert, an et weess net wat en Hostnumm ass. E Profil, deen e Suffix zouloosst, entscheet just wien äntwert; et mécht d'Äntwert ni erreechbar.

En eenfachen Symptomtest trennt se: ersetzt den Numm duerch eng Adress. Wann d'Adress funktionéiert, ass de Wee an der Rei an d'Regel falsch. Wann d'Adress och feelt, kann d'Regel richteg sinn an de Wee feelen.

Wéi all Plattform déi selwecht Nummregel ausdréckt

D'Absicht ass identesch an d'Feldnimm sinn et net. En Beispill, dat vun engem Client op en aneren kopéiert gëtt, parst propper a passt ni. Déi dräi Forme gesinn esou aus:

Eng Abgläichs- oder Routingdomän ass en Suffixtest, also deckt intranet.corp git.intranet.corp an deckt corp.intranet net, an d'Ëmdréinen ass dee heefegste Feeler an der ganzer Konfiguratioun. Windows dréit d'Mapping als Numm-Opléisungspolitik um Profil, mat senger eegener Prioritéitsuerdnung géintiwwer där Suffixlëscht, déi d'Interface schonn hat. Apple-Plattforme befestegen Abgläichsdomänen un d'DNS-Astellungeobjekt vun der Netzwierkerweiderung, an d'System applizéiert se pro ofgegrenztem Resolver. Keng vun dëse Forme ass eng Route, a keng kann eng onerreechbar Adress erreechbar maachen. D'Referenz Windows-Numm-Opléisungspolitik listet d'Feldnimm an d'Prioritéitsregelen fir déi Plattform, an et si net déi, déi d'Apple- oder systemd-Dokumenter benotzen.

Eng richteg Äntwert brauch nach ëmmer e Wee

Eng Resolver-Äntwert ass just eng Adress, an d'Applikatioun muss se nach ëmmer erreechen. En opgedeelte Tunneldesign dréckt oft 10.20.0.0/16 an hält d'Standardroute zréck, sou datt den internen Numm opgeléist gëtt an d'Verbindung duerno hänkt. De Géigefall ass grad esou heefeg: d'Route gëtt et, en ëffentleche Resolver äntwert den private Numm mat NXDOMAIN, an de Feeler gëtt als Routingproblem festgehalen. De Wee fir d'éischt ze testen, léisst Iech op Routen starren fir en Numm, deen ni opgeléist gi wier.

Et gëtt och en drëtte Paart, deen keng Hälft ofdeckt. Eng ACL um Gateway, eng Firewallregel oder eng Client-Säit-Politik kann d'Verbindung fale loossen, nodeems déi zwee Entscheidunge richteg waren. Wann den Numm sech opléist, d'Route existéiert an d'Verbindung awer nach ëmmer ofleeft, stoppt DNS ze testen.

Nimm a Weeër an enger fester Reiefolleg testen

Wielt eng Reiefolleg a haalt se an, soss jagt Dir de Schrëtt no, dee lescht feelgeschloen huet. Léist den dokumentéierte vollstännegen internen Numm op, bestätegt datt d'Äntwert eng Adress ass, déi d'Routentabell dréit, an widderhëlt et dann mat engem ëffentlechen Numm, fir ze beweisen, datt den Tunnel net alles agefaangen huet. Op engem systemd-Host leien d'Ufro an d'Routingdomän vum Resolver eng Kommando auserneen:

resolvectl query intranet.corp
resolvectl domain
ip route get 10.20.5.10

En Windows-Client stellt déiselwecht zwou Froen mat aneren Cmdlets. Déi zweet mellt d'Interface, déi d'System tatsächlech benotze géif:

Resolve-DnsName intranet.corp -Type A
Find-NetRoute -RemoteIPAddress 10.20.5.10

Wann d'Sich eng Adress zréckgëtt an de Weetest déi physesch Interface nennt, huet d'Nummregel geschafft an d'Route net. Wann de kuerzen Numm feelt, während de vollstännegen opgeléist gëtt, ass d'Suffixlëscht falsch an net de Resolver.

Wou de Verglach normalerweis schief geet

Den éischte Feeler ass, en onverbonnenen ëffentleche Resolver iwwer en private Numm ze froen an d'Oflehnung als Beweis iwwer de VPN ze liesen. Den zweeten ass unzehuelen, datt eng funktionéierend ëffentlech Sich de Resolverwee vum Tunnel beweise géif. Den drëtten ass, opgedeelt Tunneling an opgedeelt DNS als eng Designentscheedung ze behandelen, obwuel eng Ausrollung an deem engen richteg an an deem aneren futti ka sinn. All Feeler gëtt selbstsécher Conclusiounen aus engem Test, deen den ugekloten Deel ni geübt huet.

E Browser mat sengem eegenen sécheren DNS kann d'Systemregel och ëmgoen, dofir ass et kee Widdersproch, wann een Browser feelt an en aneren et packt. Vergläicht den Resolver, deen äntwert huet, net de Browser, dee sech beschwéiert huet.

Soubal béid Hälften sichtbar sinn, ass déi reschtlech Fro eng Politikfro an net eng technesch: wéi eng Nummraim zur Organisatioun gehéieren, wien all Äntwert besëtzt a wéi eng dovun d'Maschinn iwwerhaapt verloosse sollen. Schreift dat nieft de Profil, well déi nächst Persoun, déi d'Regel beréiert, et brauch.