VPN-DNS hëlt all Ufro: korrigéiert dns-priority am NetworkManager

Eng VPN-Verbindung huet standardméisseg Prioritéit 0 a behaapt all Domain. Setzt eng negativ Prioritéit fir d’Reiefolleg, a benotzt duerno Routing-Domaine fir de Rescht zréckzeginn.

Verbannt de Büro-VPN an op eemol geet all Nummufro op de Firmen-Resolver. Ëffentlech Nimm ginn nach opgeléist, dofir gesäit näischt futti aus, bis den Numm vun engem lokalen Drécker feelt oder e split-horizon-Andrëtsch d’Bürosadress zréckgëtt. Bei eenzelen Fedora-Installatioune geschitt dat Ëmgedréint: de Resolver vum Anbieter äntwert weider, nodeems den Tunnel steet. Béides ass eng Fro — wéi en Resolver dës Ufro gehéiert — an op NetworkManager-Systemer lieft d’Äntwert an den DNS-Eegeschaften vun all Verbindung.

Zwou Verbindungen, een gewënnte Resolver

All Verbindung deklaréiert eng DNS-Prioritéit. Gewéinlech Verbindunge stinn standardméisseg op 50 an VPN-Verbindungen op 0, an dee méi nidderegen Wäert gewënnt. Genee dee Standard ass de Grond, firwat eng VPN-Verbindung de Kabelverbindung fir all Domain, déi se behaapt, stëll iwwerhëlt: Null schléit fofzeg, ouni datt een et ausgesicht huet.

D’Prioritéit ordert d’Kandidaten. Si limitéiert net, wat de Gewënner gefrot gëtt. Eng VPN-Verbindung ouni Sich-Domain behaapt alles, dofir schéckt hir Preferenz och ëffentlech Ufroen an den Tunnel an, an engem Split-Tunnel-Design, dohinner wou de Firmen-Resolver weiderleet.

D’Prioritéit entscheet d’Reiefolleg, d’Sichlëscht entscheet de Besëtz

nmcli -f connection.id,ipv4.dns,ipv4.dns-search,ipv4.dns-priority con show "Corp VPN"
resolvectl status
readlink -f /etc/resolv.conf

D’Sichlëscht ass d’Besëtzdeklaration. Eng blouss Domain wéi corp.example gëtt eng Sich-Suffix an eng Routing-Domain. D’Form just fir Routing ~corp.example schéckt Ufroe ënner deem Suffix un dës Verbindung, ouni d’Domain un déi kuerz Nimm derbäizesetzen. Dee Tilde ass den Ënnerscheed tëscht «fro dëse Server» a «fro dëse Server a fäerdeg mäi Tippen».

Benotzt béid Formen, wann d’Benotzer kuerz Hostnimm tippen an d’Andrëtsch och mat voll qualifizéierten Nimm adresséiert ginn. Benotzt just d’Routingform, wann Dir d’Deelung wëllt, ouni ze änneren, wéi de Resolver en bloussen Numm komplettéiert.

Maacht duerno d’Preferenz explizit a reaktivéiert:

nmcli con modify "Corp VPN" ipv4.dns-priority -100
nmcli con modify "Corp VPN" ipv6.dns-priority -100
nmcli con modify "Corp VPN" ipv4.dns-search "~corp.example,corp.example"
nmcli con up "Corp VPN"

Eng negativ Prioritéit ass den dokumentéierte Wee, fir ze soen «preferéier dës Verbindung», an déi zwou Adressfamilljen ze setzen hält d’Verhalen op engem Host mat IPv6-Konnektivitéit eenheetlech. D’Eegeschaft z’änneren, ouni d’Verbindung ze reaktivéieren, ännert näischt vun deem, wat elo leeft, dofir ennt d’Sequenz mat engem expliziten up.

Loosst systemd-resolved d’Deelung halen

De Standard-dnsmasq-Plug-in leet d’Ufroe an een lokale Resolver, dofir bleift d’Trennung pro Verbindung graff. systemd-resolved weist d’Deelung pro Verbindung, an resolvectl query nennt d’Verbindung, déi geäntwert huet.

systemctl enable --now systemd-resolved
ln -sf /run/systemd/resolve/stub-resolv.conf /etc/resolv.conf
systemctl restart systemd-resolved NetworkManager
resolvectl query build.corp.example

Duerno dréit d’Firmenverbindung corp.example an e ëffentleche Resolver bedéngt de Rescht. Wann eng Ufro op déi falsch Verbindung geréit, nennt de Befehl d’Verbindung, déi drop geäntwert huet, an dat ze wësse ass besser wéi just d’Adress ze kennen.

Passt den DNS-Design un den Tunnels-Typ un

Privatsphär-Designen, déi alles duerch den Tunnel schécken, sollten keng Deelungslëscht droen, well se ëffentlech Nimm un de lokale Resolver zréckginn an den Zweck ëmstéisse géif. Split-Tunnel-Designen brauchen eng: ouni se gesäit de Firmen-Resolver all ëffentlech Ufro, an d’Konfiguratioun brécht dee Moment, wou den Tunnel fält.

Dono gëtt et de kill switch, deen DNS baussent dem Tunnel blockéiert. Nimm ginn fir d’Zonen vum Tunnel opgeléist a feelen iwwerall soss, wärend d’Verbindung komplett gesond ass. Déi funktionéierbar Äntwerten sinn eng explizit Erlaabnes fir de LAN-Resolver oder en lokale Cache, deen nëmmen d’Firmenzon weiderleet, a béides ass eng Ausnam mat engem Besëtzer, keen Defekt am Tunnel.

E Profil, deen d’Resolver-Konfiguratioun beim Start vum Interface ëmschreift, verhält sech bal déiselwecht: soubal de lokale Resolver net erreechbar ass, ginn nëmmen d’Nimm opgeléist, déi den Tunnel kennt. Wat fir e Mechanismus och gëllt, schreift op, wéi eng Nimm an all Zoustand funktionéiere sollen, a gitt déi Lëscht deen, deen d’Meldungen behandelt.

Verifizéiert pro Verbindung, an duerno nach eng Kéier nom Neiverbannen

Frot een internen an een ëffentlechen Numm, a kuckt, wou d’Ufro wierklech higeet. Eng Leck-Test-Säit seet Iech, wéi en Resolver geäntwert huet, net wéi eng Verbindung de System ausgesicht huet, dofir seet se näischt iwwer d’Reiefolleg, déi Dir just konfiguréiert hutt.

Fuert déi zwou Ufroe nach eng Kéier no engem Trennen an Neiverbannen aus. Prioritéite ginn nees ugewannt, wann eng Verbindung aktivéiert gëtt, an en ale symbolesche Link kann en Upgrade iwwerliewen, un deen sech keen erënnert. Wat Dir um Enn opgeschriwwen hätt, ass wéi en Resolver wéi ee Suffix gehéiert, plus eng Kontroll, déi muer nach gëllt.

Ähnlech Artikelen