macOS resolver fails vietējam domēnam blakus VPN

Jūsu darba VPN lieliski atrisina uzņēmuma nosaukumus, kamēr mājas printeris joprojām nav sasniedzams pēc nosaukuma, un parastais risinājums, pie kura cilvēki ķeras, ir vērst visu Mac uz mājas maršrutētāju. Tās ir daudz lielākas izmaiņas, nekā problēma prasa. macOS var nosūtīt vienu DNS sufiksu uz savu serveri ar maza resolver faila palīdzību, atstājot katru citu vaicājumu tieši tur, kur tas bija.

Vispirms ir atļauju robeža: tas attiecas uz domēnu, kuru jūs pārvaldāt vai kura konfigurēšanai esat pilnvarots. Tas nav ceļš ap organizācijas noteikto DNS politiku vai tās vietējā tīkla ierobežojumiem.

Viens fails ar šauru uzdevumu

Pieņemsim, ka vietējā zona ir lab.example.org un tās serveris atbild 192.168.55.1. Mac datorā, kurā jums atļauts veikt izmaiņas, administrators izveido vienkārša teksta failu, kura nosaukums ir pats domēns, /etc/resolver/lab.example.org, ar vienu nameserver 192.168.55.1 rindu. Jaunā sistēmā šī mape var neeksistēt, tāpēc izveidojiet to ar administratora tiesībām un pirms rakstīšanas pārbaudiet, vai pārvaldības programmatūrai tur jau nav faila.

Apple resolver konfigurācijas dokumentācija apraksta konvenciju, ka faila nosaukums nodrošina domēnu, ja failā nav atsevišķa domēna iestatījuma. Šis nosaukšanas noteikums ir viss triks, un tāpēc fails ir jānosauc pēc zonas, nevis pēc servera.

Kā macOS izvēlas starp resolveriem

Var būt aktīvs vairāk nekā viens resolver klients, un uzvar visprecīzāk atbilstošais domēns. Tāpēc lab.example.org resolverim ir cita tvēruma nekā noklusējuma resolverim, un konkrētāks apakšdomēns ar savu failu atkal var iegūt prioritāti. Tas ļauj darba VPN saglabāt savu sufiksu, kamēr jūsu laboratorijas zona dodas citur. Šajā iekārtojumā nekas nav globāls, un tas ir atcerēšanās vērts punkts.

Atstājiet /etc/resolv.conf miera. macOS pati raksta šo failu, un tajā nekad nav bijis pilnīga domēnam specifiskas izšķiršanas aina. Konfigurācija var nākt arī no sistēmas konfigurācijas datubāzes, nevis no failiem šajā mapē, tāpēc pārvaldības profils var pārrakstīt to, ko jūs ierakstījāt.

Trīs lietas, ko fails nevar nodrošināt

Serverim jābūt sasniedzamam. Ja VPN bloķē vietējo tīklu vai uzņēmuma maršruts pārtver servera adrešu diapazonu, pilnīgi pareizs sufiksa fails joprojām nevarēs piegādāt vaicājumu. Vērsieties ar to pie tīkla īpašnieka, nevis paplašiniet vietējos izņēmumus paši.

Zonā jābūt pareizajai atbildei, un to vislabāk pārbaudīt ar pilnībā kvalificētu nosaukumu, piemēram, printer.lab.example.org. Īss nosaukums var izraisīt meklēšanas domēnu uzvedību un galu galā uzdot citu jautājumu, nekā bijāt domājis.

Visbeidzot, lietotnei ir jāspēj izmantot atbildi. Printera nosaukuma izšķiršana nedod piekļuvi tā adresei un neatver pakalpojumu aiz tā. Atgrieztajai adresei joprojām ir vajadzīgs atļauts maršruts un piekļuves politika, kas atļauj savienojumu. Resolver fails maina, kur nosaukums tiek meklēts; tas nerezervē ceļu rezultātam.

Pārbaudiet izvēli, nevis aizstājiet DNS

Pārbaudiet, ko macOS faktiski izmanto tagad, un vaicājiet pilnībā kvalificēto nosaukumu pašā lietotnē vai rīkā, kas izšķir tāpat kā lietotnes. Tiešs vaicājums uz 192.168.55.1 pierāda, ka serveris atbild; tas nepierāda, ka macOS izvēlējās šo serveri parastiem vaicājumiem. Tie ir dažādi fakti, un tikai otrais apraksta to, ko piedzīvos jūsu pārlūks.

Ja cits resolveris jau pretendē uz to pašu sufiksu, noskaidrojiet, kam tas pieder, pirms pievienojat prioritātes norādes. Dokumentētais search_order iestatījums sakārto klientus, kas dala domēnu; tas nav globāls preferenču slēdzis, kas liek vispārīgam resolverim uzvarēt katrā vaicājumā.

Apstipriniet, ka uzņēmuma nosaukumi joprojām tiek izšķirti, kad VPN ir pievienots, pēc tam pierakstiet failu un tā mērķi vietējās piezīmēs. Kad iekārtojums tiek likvidēts, dzēsiet tikai šo failu un pārbaudiet abas nosaukumu telpas, nevis atiestatiet visus tīkla DNS iestatījumus.