VPN-DNS funktionéiert, awer .local-Nimm schloe nach ëmmer fehl: wien léist se?

Zwee Maschinnen op der selwechter VPN, dee selwechten Hostnumm, an nëmmen eng vun hinnen léist en: den Ënnerscheed ass meeschtens net den Tunnel, mä wéien Resolwer geäntwert huet. Op engem Linux-Desktop kann den Numm duerch den Numm-Service-Schalter, duerch den Stub vu systemd-resolved oder duerch en Resolwer goen, deen d’Applikatioun matbruecht huet, an all vun deene wendt seng eege Regel op dee selwechte Suffix un. Um Suffix ginn d’Regele fridden, well .local keen neutrale Label ass. Fënnt eraus, wéi ee Wee de Programm, dee feelt, tatsächlech hëlt, ier Dir d’Reiefolleg ännert, an där eppes leeft.

Zwee Resolweren, zwee verschidde Äntwerten

Eng traditionell glibc-Sich geet duerch d’hosts:-Linn an nsswitch.conf a freet all Modul noeneen, bis eng äntwert. E Client, deen iwwer den Stub-Listener mat systemd-resolved schwätzt, freet amplaz ee Prozess, an dee Prozess wendt Politik pro Verbindung plus seng eege Spezialfäll un. Eng Applikatioun, déi hire eigenen Resolwer matbréngt oder eng Bibliothéik verlinkt, déi dat mécht, kann déi zwee ëmgoen. Sou kann een Hostnumm dräi Besëtzer op enger Maschinn hunn, an nëmmen een dovun weess, wat d’VPN gemengt huet.

Identifizéiert de Besëtzer, ier Dir eppes ännert, well d’Korrektur fir all eenzel vun den dräi anescht ass. E Browser an en Kommandozeilen-Tool op der selwechter Desktop kënnen zu Recht net d’accord sinn, an deen Desaccord ass den Hiwäis, net de Feeler. Wann de Browser den Numm léist an den Tool net, debuggt Dir e Resolwer-Wee an net eng VPN-Route. Bestätegt d’Route separat, sou datt e Routingfeeler net mat engem Numm-Service-Feeler verwiesselt gëtt. Wann allebéid d’accord sinn, läit de Feeler uewen iwwer dem Host an d’Resolwer-Konfiguratioun hei ass keng weider Ännerung wäert.

Wéi ee Kommando tatsächlech Äre Resolwer gefrot huet

Zwee nëmme-Lies-Kommandone beäntwerten ähnlech Froen, an hire Verglach lokaliséiert de Problem méi séier wéi d’Konfiguratioun ze liesen. Benotzt en echte internen Numm a halt d’Ausgab privat, well intern Opzeechnunge intern bleiwen. Fuert béid an der selwechter Sitzung aus, an där de Programm, dee feelt, leeft:

getent ahosts files.corp.local
resolvectl query files.corp.local
resolvectl status

Déi éischt freet iwwer déi konfiguréiert Moduler, wat en typesche Programm erlieft. Déi zweet freet systemd-resolved direkt a mellt d’Verbindung, de Protokoll an de Server, deen geäntwert huet. De Server iwwer d’Adress ze froen beweise just, datt de Server d’Opzeechnung huet, well et näischt doriwwer seet, ob d’Applikatioun him jeemools gefrot huet. Liest d’Verbindung, déi d’VPN dréit, an d’Domaingen, déi se usproch hëlt, a vergläicht duerno dës Lëscht mam Suffix am Numm, dee feelt.

Firwat .local Är Unicast-Zon iwwerspréngt

de Referenz vum systemd-resolved soen, datt Nimm mat méi Etiketten, déi op .local ophalen, normalerweis op Multicast-DNS ginn, wann mDNS aktivéiert ass, amplaz op gewéinlech Unicast-DNS. RFC 6762 hält dësen Nummraum fir link-local Multicast fräi, sou datt eng Firmezon eng korrekt Opzeechnung ka halen, déi fir dee Suffix ni gefrot gëtt. Den Tunnel kann den Resolwer perfekt routeieren an trotzdem de Course verléieren. E Ping, deen aus engem Cache geléngt, seet näischt iwwer d’Sich, déi just geschitt ass.

Et gëtt eng dokumentéiert Ausnam, an se entscheet déi meescht vun dëse Fäll: wann eng Verbindung dee Suffix als Sichdomain oder Routingdomain deklaréiert, hält den Daemon en um Unicast-Wee a spréngt de Spezialfall Multicast iwwer. Dat ass Politik pro Verbindung an net eng global Preferenz. Zwee Maschinnen mam selwechte VPN-Server kënnen sech anescht behuelen, wann eent Netzwierkprofil d’Domain deklaréiert an dat anert net, also liest dat aktiivt Profil an net dat, vun deem Dir denkt, Dir hätt et geännert.

Déi schmuel Ausnam schlägt eng global Ëmuerdnung

Fir eng bestoend Zon, déi Dir net ëmbenenne kënnt, loosst de Resolwer- an de VPN-Besëtzer d’Domain op der Verbindung deklaréieren, déi se dréit. En Antrag fir eng Routingdomain fir deen eenzege Suffix plus déi virgesinn Serveradress ass eng kleng Ännerung mat engem genannte Besëtzer, an en wunnt bei der Verbindung amplaz an enger handgeännerten Datei.

En iwwerliewt och eng Trennung, well d’Verbindungspolitik nei ugewannt gëtt, wa d’Verbindung zréckkënnt. D’gemeinsam nsswitch.conf z’änneren ass déi verlockend an déi deier Alternativ, well et d’Sichverhalen fir all Numm op der Maschinn ännert, inklusiv d’lokal Entdeckung. Den Multicast-Daemon auszeschalten ass och net gläichwäerteg: et hëlt d’lokalt Verhalen ewech, ouni engem Resolwer d’Firmezon bäizebréngen. Wann de Service nei an net ierfle ver ass, setzt en ënner eng Subdomain, déi Är Organisatioun kontrolléiert, a spréngt d’Konkurrenz komplett iwwer. Wielt déi schmuel Ausnam, wann den Numm an der Firmware fixéiert oder op engem Label gedréckt ass, a wielt eng nei Subdomain, wann Dir de Client nach kontrolléiert.

Wat no der Ännerung ze beweisen ass

Beweist d’Korrektur mat der eegener Sich vun der Applikatioun amplaz mat engem Tool, dat Dir zum Testen installéiert hutt, a läscht all Cache, dee fir si äntwerten kéint. Bestätegt duerno den Resolwer-Wee an d’Verbindung, déi d’Äntwert geliwwert huet. Iwwerpréift schliisslech, datt d’lokal Entdeckung sech nach behuelen wéi virun der Ännerung, well den Drécker, deen ophält ze erschéngen, deen Deel ass, deen d’Leit zu lescht bemierken. Dës dräi Kommandone préifen den Numm, den Wee an d’TLS-Identitéit an där Reiefolleg:

getent ahosts files.corp.local
resolvectl query files.corp.local
curl -sv --max-time 5 https://files.corp.local/ 2>&1 | head -n 20

Eng korrekt Adress mam falsche Certificat léisst en strikte Client nach ëmmer feelen, also préift den Numm, deen d’Applikatioun erwaart, wann d’Léisung funktionéiert. Bestätegt, datt de Service Verbindungen aus der VPN-Adress unhëlt an net nëmmen aus dem Bürosberäich. Schreift den Domainëmfang, de Server an de Besëtzer an d’Dokumentatioun vun der Verbindung. Soss gräift déi nächst Persoun, déi op dëse Feeler stéisst, no der selwechter globaler Ännerung, déi Dir just vermeit hutt.