Firwat Ären /etc/hosts-Antrag den DNS vum VPN net erreecht

Dir hutt en Numm an /etc/hosts dobäigemaach, de VPN verbonnen an erwaart, datt de Rekord fir jiddereen erschéngt. Dat geschitt net, an d’Iwwerraschung kënnt meeschtens mat engem zweete Symptom: den Numm léist sech op Ärem Rechner a versot op deem vun engem Kolleg, wat wéi en defekte VPN DNS-Service ausgesäit an tatsächlech d’hosts-Datei genau dat mécht, wofir se geduecht ass. Eng hosts-Datei ass lokal Numm-Opléisungs-Konfiguratioun, net en Zonen-Update, an näischt an enger normaler VPN-Verbindung lued se erop.

Hosts ass eng lokal Iwwerschreiwung, keen Zonen-Update

D’Datei ass eng Lëscht vu Mappungen, déi Numm-Service-Bibliothéiken consultéieren, ier se en DNS-Server froen oder amplaz. Eng Zeil wéi 10.40.0.20 build.corp.example ännert, wat Applikatiounen op deem een Rechner schlussfolgeren. Se erstellt kee Rekord, se reest net duerch den Tunnel, an den DNS-Server, op deen den Tunnel weist, huet keng Ahnung datt se existéiert.

Dofir ass de Feeler asymmetresch. Äre Client kritt eng Äntwert aus der Datei. En anere Client freet den VPN DNS-Server, deen näischt zréckgëtt, an d’Applikatioun mellt, den Numm existéier net. Béid Rechner behuelen sech richteg; nëmmen een huet eng Iwwerschreiwung, déi deen aneren ni gesinn huet.

Zwou Kommandoen, zwou verschidde Komponenten

De séierste Wee fir d’Diskussioun ze stoppen ass, den Ënnerscheed an zwou Kommandoen sichtbar ze maachen, béid op deem Client ausgefouert, deen den hosts-Antrag huet:

getent ahosts build.corp.example
dig @10.40.0.53 build.corp.example A

Déi éischt freet den eegene Sichwee vum System, deen op engem typesche glibc-System lokal Dateien virun DNS liest. Déi zweet schéckt eng DNS-Ufro direkt un de Server op där Adress a consultéiert iwwerhaapt keng lokal Dateien. Wann déi éischt Ären Antrag zréckgëtt an déi zweet NXDOMAIN, hutt Dir bewisen, datt de Rekord net am DNS existéiert an datt Äre Rechner aus enger lokaler Iwwerschreiwung äntwert.

D’Uerdnung ass konfiguréierbar, an et lount sech dat ze kontrolléieren, ier Dir eppes iwwer eng bestëmmte Verdeelung schlussfolgert. Kuckt d’Zeil hosts: an /etc/nsswitch.conf; hosts: files dns consultéiert éischt Dateien. Kopéiert dat Beispill net iwwer eng funktionéierend Konfiguratioun just fir d’Uerdnung ze änneren, well richteg Systemer dacks zousätzlech Quellen a bedingt Service-Anträg opzielen, déi d’Beispill net huet.

systemd-resolved verwëscht den Test

Op engem System mat systemd-resolved bedreift de lokale Stub och Nimm aus der hosts-Datebank. Dofir ass eng Ufro un 127.0.0.53 keen onofhängege Test vum entfernte Server, och wann se wéi eng DNS-Ufro ausgesäit a sech sou behält. Dir kënnt bestätegen, wat de Resolver weess a wéi eng Serveren en froe géif, mat:

resolvectl query build.corp.example
resolvectl status

D’Status-Ausgab nennt d’DNS-Serveren pro Verbindung, an esou fannt Dir eraus, ob d’VPN-Verbindung iwwerhaapt e Resolver kritt huet. Déi Fro ass getrennt vum hosts-Antrag an ass déi, déi et wäert ass ze stellen, wann en private Numm fir all Benotzer a net fir een versot.

Applikatioune kënnen nach eng weider Schicht bäisetzen. E Browser mat senger eegener DNS-over-HTTPS-Astellung, en Container mat senger eegener Resolver-Konfiguratioun oder eng Laufzäit, déi Sich an der ganzer Liewensdauer vum Prozess cachet, kënnen all anescht wéi de System äntweren. Test d’Applikatioun, déi Iech wichteg ass, amplaz unzehuelen, datt eng Kommando all Programm um Rechner beschreift.

Wat en Numm iwwer de VPN deelt

Wann en private Numm fir jiddereen muss funktionéieren, brauch en en Eegentümer, deen de Resolver vun jiddereen erreeche kann. Déi propper Äntwert ass, de Rekord an enger verwalter Zone ze publizéieren an déi Zone duerch den ugedachte VPN DNS-Wee opléisbar ze maachen. Dann huet de Rekord eng eenzeg Quell vun Wourecht, eng Audit-Spur an e Liewenszyklus, an et muss keen sech erënneren, wéi ee Laptop eng lokal Iwwerschreiwung dréit.

hosts-Dateien verdeelen ass eng legitim Alternativ, an et ass Endpunkt-Management an net Numm-Service. Wann Dir se wielt, muss d’Datei vun deem, wat d’Flott verwalt, deployéiert, versionéiert an ewechgeholl ginn, an dat soll och esou am Design beschriwwe ginn. „De VPN këmmert sech dorëm“ ass keng Beschreiwung vun deem Prozess.

Dynamesch DNS-Registratioun ass en drëtte Mechanismus, mat sengen eegenen Erlaabnessen, Update-Authentifikatioun a Rekord-Liewensdauer. Et follegt net aus engem hosts-Antrag, an et follegt och net doraus, datt e Client einfach verbënnt, ausser de Server an de Client sinn allebéid dofir konfiguréiert. E Rekord, deen aus sech selwer erschéngt, ass en Zeechen, datt een sécher Updaten aktivéiert huet an e Client, dee sech selwer registréiert, an déi Konfiguratioun gehéiert an den Design-Rekord an net an en Troubleshooting-Thread. Wann keen nenne kann, wiem déi Astellung gehéiert, behandelt den automatesche Rekord als net verifizéiert a hält d’verwalt Zone als Quell vun Wourecht.

En opgeléisten Numm ass keng Route

Nimm-Opléisung an Erreechbarkeet sinn getrennt, an eng verouderte lokal Mappung ass de klassesche Wee, se ze verwiesselen. En hosts-Antrag, deen op eng Adress weist, déi geplënnert ass, wäert nach laang nom DNS-Korrektur de verouderte Host auswielen, an de Symptom gesäit aus wéi e Routing-Fehler op engem Numm, dee sech gutt opléist.

Also wann de Rapport „den Numm léist sech op, awer de Service ass net erreechbar“ ass, vergläicht d’System-Sich mat enger expliziter Ufro un den VPN DNS-Server, a kontrolléiert duerno d’Adress, déi Dir krut, géint déi, déi de Service tatsächlech benotzt. D’systemd-resolved-Referenz dokumentéiert déi lokal Quellen, déi se consultéiert, an dat ass d’Kaart, déi Dir fir dee Verglach braucht.

Duerno korrigéiert d’Iwwerschreiwung iwwer hirem Eegentümer. Eng Zeil aus Ärer eegener hosts-Datei ewechzehuelen mécht näischt fir déi zwielef Laptopen, déi déiselwecht Zeil vun engem Deployment-Skript kritt hunn, an dat ass d’Versioun vun dësem Problem, déi d’Leit tatsächlech hunn.