Skirstomasis DNS per OpenVPN: ką maršrutizavimo domenas turi daryti kiekvienoje operacinėje sistemoje

Kiekviena skirstomojo DNS užklausa prasideda tuo pačiu sakiniu: įmonės vardai keliauja į įmonės DNS, visa kita veikia toliau. Paversti tą sakinį konfigūracija reiškia atsakyti į tris klausimus kiekvienai operacinei sistemai, o atsakymai kiekvienoje naudoja skirtingus mechanizmus. Profiliai, kurie veikia Linux nešiojamajame kompiuteryje, dažnai nepavyksta Windows aplinkoje dėl priežasčių, kurios neturi nieko bendra su tuneliu. Skirtumas dažniausiai yra resolverio nustatymas, palaikytas maršrutu.

Pirmiausia įvardykite politiką, tada pasirinkite platformos primityvą, kuris ją išreiškia.

Trys nustatymai, kuriuos lengva supainioti

Paieškos priesaga išplečia trumpą vardą: įvedus files jis tampa files.corp.example, kai resolveris iš eilės bando priesagas. Maršrutizavimo domenas parenka, kuris resolveris atsakys į užklausas vardų erdvės viduje. IP maršrutas tik padaro pasirinktą resolverį pasiekiamą. Šie trys gyvena skirtinguose sluoksniuose, o pakeitus vieną kitu gaunama konfigūracija, kuri atrodo teisinga ir nieko neišsprendžia.

Sumaištis turi kainą: pridėjus paieškos priesagą, kiekvienas trumpas vardas siunčiamas į darbo resolverį, įskaitant vardus, priklausančius kitur. Pasirinkus maršrutizavimo domeną, nesusijusios užklausos lieka vietiniame resolveryje, o *.corp.example vis tiek siunčiamas per tunelį.

Linux: tik maršruto domenas, o ne paieškos priesaga

Sistemoje systemd-resolved domenas su tilde priekyje yra tik maršruto domenas, tai reiškia, kad tos vardų erdvės užklausos keliauja į susietą resolverį netapdamos ir paieškos priesaga. resolvectl domain tun0 '~corp.example' tai nustato, o resolvectl dns tun0 10.8.0.1 įvardija serverį. Abu nustatymai priklauso sąsajai, todėl išnyksta kartu su ja. Tildė yra ta dalis, kurią žmonės praleidžia, o be jos trumpi vardai pradeda spręstis per darbo resolverį.

Neįdiekite to paties domeno ir kaip visuotinės paieškos priesagos. Abu nustatymai nėra pertekliniai; vienas nukreipia, kitas perrašo tai, ką įvedėte.

Windows reikia vardų erdvės politikos, o ne priesagos

Windows skirstomojo DNS politiką laiko Name Resolution Policy Table, o ne adapterio DNS priesagoje. Taisyklė susieja vardų erdvę su konkrečiais serveriais: Add-DnsClientNrptRule -Namespace .corp.example -NameServers 10.8.0.1. Vien priesagos nustatymas pakeičia, kaip atrodo trumpi vardai; jis nenukreipia užklausos į kitą serverį.

Po prisijungimo patikrinkite galiojančią politiką su Get-DnsClientNrptPolicy, nes ankstesnio ryšio taisyklė gali pergyventi tunelį. Šalindami taisykles pagal pavadinimą, kai tunelis krenta, ir palaikykite rodomą pavadinimą stabilų, kad valymas pataikytų į tinkamą įrašą.

Vienas resolverio savininkas kiekvienai platformai

Darbalaukio tvarkyklė, OpenVPN up scenarijus ir vietinis resolverio tarnybos procesas gali visi bandyti rašyti tą pačią konfigūraciją. Kai jie nesutaria, laimi paskutinis rašantysis, o rezultatas priklauso nuo išmontavimo eilės. Pasirinkite vieną komponentą, kuris valdytų resolverio būseną, leiskite kitiems pranešti, o ne rašyti, ir išbandykite prisijungimą iš naujo: politika turėtų tai pergyventi nedubliuojant taisyklių. Išbandykite ir atsijungimą, nes likusi būsena yra tai, kas verčia kitą ryšį elgtis kitaip.

Programos, kurios atsineša savo šifruotą resolverį, visiškai ignoruoja operacinės sistemos politiką. Tai yra programos savybė, o ne tunelio defektas.

Tikrinkite rezultatą, o ne profilio tekstą

Išspręskite vieną vardą, kuris turi eiti per tunelį, ir vieną, kuris neturi, kiekvienoje platformoje, ir patvirtinkite, kuris serveris atsakė. resolvectl query host.corp.example ir Resolve-DnsName host.corp.example abu praneša atsakiusį serverį. Pakartokite po prisijungimo iš naujo. Tada patvirtinkite, kad tunelio resolveris pasiekiamas adresu, kurį stumia profilis, nes teisinga politika, nukreipta į nepasiekiamą serverį, nepavyksta taip pat, kaip ir jokia politika.

Užrašykite numatytą elgseną profilio pastabose: kuri priesaga nukreipia, kuris serveris į ją atsako ir kas atsitinka su visa kita. Kita palaikoma platforma labiau reikės to sakinio nei konfigūracijos failo.