Firwat privat DNS-Nimm op VPN-Clienten net fonktionnéieren a wou een nogekuckt

Du méchs e Laptop an engem Hotelzëmmer op, start de Client, tipps den Numm vum internen Dateiservéier an een a kritt näischt zréck. Den Tunnel mellt verbonnen, a ping op eng Adress am selwechten Subnetz äntwert nach ëmmer, also den Transport selwer ass an der Rei. Nëmmen den Numm feelt, an déi Lück verengt de Problem op zwou Plazen: wéie Resolver de Client gefrot huet a wéi d'Äntwert, déi een a kritt huet, kann duerch den Tunnel zréckkommen. Maach dat engem richteg an loosst dat anert aus, an de Feeler verréckelt sech just.

Ier du e Profil änderst, confirméier wat de Client mam Numm mécht. Ënner Linux weist resolvectl query files.corp.example, wéi eng Verbindung a wéie Resolver d'Äntwert produzéiert hunn. Ënner Windows weist Resolve-DnsName files.corp.example de Server, deen geäntwert huet, an d'Adress, déi en zréckginn huet.

Léis d'Äntwert, ier du eppes änderst

Kënnt den Numm als NXDOMAIN a wéinegen Millisekonnen zréck, ass d'Ufro ni an deng Zon komm an een ëffentlechen oder Hotels-Resolter huet amplaz geäntwert. Kënnt en eréischt no enger laanger Paus zréck, verwërft ënnerwee eppes den UDP-Port 53 an de Client ass schlussendlech zréckgefall. Äntwert en mat der richteger Adress, awer d'Verbindung stécht nach ëmmer, ass d'Aufléisung an der Rei an däi Problem läit am Routing oder am Service selwer.

Déi Dräideelung spuert eng Stonn Rotselupen. Si seet der och, ob s du d'VPN iwwerhaapt uschneide solls: en Numm, deen op déi richteg privat Adress opgeléist gëtt, huet de Resolver-Wee schonn nogewise, also läit déi reschtlech Aarbecht um Datewee.

Deel de Resolver aus dem Tunnel eraus aus

Clienten deelen sech an zwou Gruppen. Déi eng kann de Server beim Opbau vun der Verbindung e Resolver uginn; déi aner hält d'Astellunge an enger lokaler Datei, déi keng Gateway aus der Ferne ka änneren.

OpenVPN ass an der éischter Grupp. Um Server lafen push "dhcp-option DNS 10.8.0.53" an push "dhcp-option DOMAIN corp.example" iwwer de Steierkanal, awer nëmmen wann an der Client-Konfiguratioun pull nach aktivéiert ass. En handgeännerten Client mat pull-filter ignore "dhcp-option" gesäit se ni, an déi eng Zeil erkläert erstaunlech vill Fäll vu „de Server schubst et, awer mäi Laptop ass net der Meenung“.

WireGuard ass an der zweeter Grupp, well de Protokoll guer keng Optiounsverhandlunge kennt. De Resolver an d'Suchdomain ginn an den eegene [Interface]-Block vum Client wéi DNS = 10.8.0.53, corp.example. wg-quick setzt dat iwwer resolvconf oder systemd-resolved ëm, an ënner Windows installéiert den offizielle Client NRPT-Reegelen, déi nëmme bestinn, soulaang den Tunnel steet: Get-DnsClientNrptPolicy listet se op, wat et zu engem séiere Wee mécht, ze gesinn, ob de Client deng Datei iwwerhaapt ugewannt huet.

IPsec/IKEv2 läit tëschent. D'attr-Plugin vu strongSwan kann en DNS-Server aus engem Pool zréckginn, an e Windows-Client akzeptéiert dat normalerweis, awer e Profil, deen säin eigenen Numm-Server festhält, gewënnt géint alles, wat de Gateway ubitt. Op engem Linux-Client sinn déi entspriechend manuell Schrëtt resolvectl dns wg0 10.8.0.53 an duerno resolvectl domain wg0 '~corp.example'; béid verschwannen mam Interface, wat genee dat ass, wat s du fir eng tunnelgebonne Astellung wëlls.

Grenz de Suffix of, amplaz all Ufro ze schlécken

Déi ganz Resolver-Lëscht vum Client op däin internen Server ze weisen ass einfach a meeschtens falsch. Dann gëtt keen ëffentlechen Numm iwwer den Ausgang vun dengem Rechenzentrum opgeléist, CDN'en ginn wäit Adressen zréck, an eng eenzeg Resolver-Stéierung hëlt d'Surfen vum Notzer mat sech.

Schéck nëmmen de private Suffix no bannen. Bei systemd-resolved ass eng Domain, déi mat ~ ufänkt, nëmme fir Routing, also ~corp.example bedeit, datt Ufroe ënner dësem Suffix op d'Serveren vun där Verbindung ginn, während alles anescht weider dat physescht Netzwierk benotzt. Windows mécht datselwecht mat NRPT-Reegelen, déi op en Nummraum agegrenzt sinn, a macOS mat enger zousätzlecher Resolver-Datei ënner /etc/resolver/.

Multicast-Nimm verdéngen eng eege Äntwert. .local-Nimm sinn vun Natur aus link-local (RFC 6762) an en Punkt-zu-Punkt-tun-Interface dréit déi Multicast-Grupp net, also en zousätzlechen ëffentleche Resolver publizéiert se net, an eng intern Unicast-Resolter-Prozess gëtt drop NXDOMAIN zréck. En Reflekter wéi avahi am Reflekter-Modus kann zwee Segmenter brécken, awer dat ass eng Entscheedung op der Serversäit, déi kee Client ka froen. Wann e Printer oder e NAS iwwer den Numm erreechbar muss sinn, gëff him amplaz en A-Record an denger Zon.

Beweis, datt d'Äntwert zréckka kann

Eng korrekt Äntwert, déi op eng onerreechbar Adress weist, gesäit genee aus wéi e Resolver-Problem, bis s du d'Route kontrolléiers. Frot de Kernel, wou d'Äntwert higeet: ip route get 10.20.5.20 nennt den Interface an, méi nëtzlech, d'Quelladress, déi en notze wäert.

Kuckt op d'Resolter-Adress selwer. En Client mat DNS = 10.8.0.53 nieft AllowedIPs = 10.20.0.0/16 schéckt seng Ufroe iwwer den physeschen NIC eraus, wou se stëll stierwen, well de Resolver an kengem Prefix läit, deen den Tunnel fuerdert. Dee Mëssmatch ass de heefegsten eenzelen Ursaach-Feeler an dësem ganze Beräich, an en ass onsiichtbar, wann s du d'DNS-Astellung net Linn fir Linn mat de erlaabte Prefixe vergläichst.

Iwwerlappend Beräicher verursaachen de Géigendeel-Feeler. D'Äntwert ass richteg, d'Route existéiert, an se weist op de falschen Host, well 192.168.0.0/24 doheem méi spezifesch ass wéi d'Route vum Tunnel an dee selwechte Beräich. Nummeréier eng Säit nei oder schubs eng méi schmuel Route, dann confirméier d'Firewall an de Réckwee vum Service-Host; dem strongSwan seng Notizen iwwer Weiderleedung decke d'sysctl-Säit vun deem Wee of.

Zertifikater sinn eng separat Identitéitskontroll, déi d'Leit dem DNS undroen. Mellt de Browser eng Numm-Differenz amplaz engem Opléisungsfeeler, huet d'Sich schonn funktionéiert, an et ass d'SAN am Zertifikat, wat reparéiert muss ginn. Test HTTPS géint den Numm, ni géint déi blouss IP.

Test nach eng Kéier vum Client, net vum Gateway

Test an der Applikatioun, iwwer déi de Notzer sech beschwéiert, well eng Sich op der Kommandozeil beweist net, datt de Browser datselwecht Wee hëlt. Dem Chrome säin séchert DNS a Firefox seng network.trr.mode kënnen de System-Resolter komplett ëmgoen, an wann se dat maachen, schléit en privaten Numm feel oder leet op en ëffentlechen Resolter. resolvectl query mat engem handgelafene dig @10.8.0.53 files.corp.example vergläichen, seet der, wéi vun den zwou et geschitt ass.

Trenn duerno d'Verbindung an verbann se erëm, ier s du et als gefléckt bezeechnest. Astellungen, déi vun Hand op engem Interface gesat goufen, verschwannen mam Interface, an e Profil, deen nëmme wéinst enger vergiessener lokaler Ännerung richteg ausgesäit, fält beim nächsten Start aus.

Eng kuerz Checklist fir déi nächst Maschinn: den Numm gëtt iwwer de Resolter vum Tunnel opgeléist, de Suffix ass agegrenzt amplaz global, d'Resolter-Adress läit bannen an de erlaabte Prefixe, den Host aus der Äntwert äntwert op dem Service-Port, an d'Zertifikat deckt den Numm, deen de Notzer getippt huet.