VirtualBox NAT viesa DNS sabrūk, kad saimnieks pievienojas VPN

Windows saimniekā iekšējais lietotnes nosaukums tiek atrisināts, tiklīdz VPN pieslēdzas, bet Ubuntu viesa iekšienē — ne. Viesis saglabā savus risinātāja iestatījumus, un NAT adapteris tā priekšā var atbildēt uz DNS vaicājumiem divos dažādos veidos. Viesa novirzīšana uz publisku risinātāju liek vietnēm atkal ielādēties, bet privātie nosaukumi paliek salauzti. Tāpēc risinātāja ceļš tiek izsekots pirms kaut kā mainīšanas.

Izsekojiet vienu vaicājumu caur NAT adapteri

Kontrolei izvēlieties vienu iekšēju pilnībā kvalificētu nosaukumu un vienu publisku nosaukumu. Kad tunelis ir uzcelts, saimniekā pārliecinieties, ka iekšējais nosaukums tiek atrisināts un lietotne aiz tā atveras. Pēc tam palaidiet tos pašus divus vaicājumus viesa iekšienē un salīdziniet atbildes, nevis rīkus.

Pirms turpināt, pārliecinieties, ka adapteris patiešām ir vienkāršs NAT. Tilta adapterim, nosauktam NAT tīklam un otram VPN klientam viesa iekšienē katram ir sava konfigurācija un savs skaidrojums. Minēšana šajā posmā izšķērdē pārējo izmeklēšanu.

VBoxManage showvminfo work-ubuntu --machinereadable | grep -i natnet
resolvectl status | head -40
cat /etc/resolv.conf

Pirmā komanda parāda adaptera režīmu un jebkuru tam pievienoto NAT tīklu. Ubuntu viesa iekšienē otrā uzskaita DNS iestatījumus pa savienojumiem, un trešā bieži atklāj tikai vietēju stub adresi, kas nozīmē, ka īstais upstream atrodas citur.

Turiet atrisināšanu un sasniedzamību atsevišķi. Viesim, kas saņem pareizo adresi, bet nevar atvērt savienojumu, ir maršrutēšanas, filtrēšanas vai pakalpojuma atļaujas problēma, un turpmākas DNS izmaiņas to nekad neskars. Pārbaudiet adresi atsevišķi un pierakstiet, kura no abām neizdevās.

Starpniekservera režīms un saimnieka risinātāja režīms ir dažādi mehānismi

Starpniekservera režīmā NAT dzinējs pārsūta viesa vaicājumus uz DNS serveriem, kurus jau pazīst. Saimnieka risinātāja režīmā tas pārtver vaicājumu un lūdz saimnieka operētājsistēmu atrisināt nosaukumu ar to, ko saimnieks pašlaik izmanto. Tikai otrais seko VPN klientam, kas, tunelim pieceļoties, pārraksta saimnieka atrisināšanu. Tāpēc abi iestatījumi vienā mašīnā dod atšķirīgas atbildes.

Šī atšķirība ir visa problēma vienā teikumā. Dot viesim serveru adrešu sarakstu nav tas pats, kas lūgt Windows atrisināt nosaukumu ar tā konfigurēto risinātāju, un VPN ar sadalītu DNS abas atbildes atšķiras. Adaptera opcija ir par mehānismu, nevis par atļauju.

Neviens režīms nepiešķir piekļuvi nekam. Autorizācija dzīvo VPN politikā un pakalpojumā, un strādājošs vaicājums nozīmē tikai to, ka nosaukums pārvērtās adresē.

Nomainiet adapteri, pēc tam pārbaudiet, ko viesis saņem

Vispirms pierakstiet VM tīkla un DNS iestatījumus, pēc tam izslēdziet mašīnu, lai rediģētu pastāvīgo konfigurāciju. VM ar nosaukumu work-ubuntu, kura pirmais adapteris nes NAT, opcija pa adapteriem tiek iestatīta no saimnieka, kamēr VM ir izslēgts. Pēc tam startējiet to vēlreiz un pārbaudiet rezultātu, nevis uzticieties izejas statusam.

VBoxManage modifyvm work-ubuntu --natdnshostresolver1 on
VBoxManage showvminfo work-ubuntu --machinereadable | grep -i natdns

Pēdējais cipars izvēlas adaptera numuru, tāpēc tā nav universāla vērtība; adaptera 2 iestatījums tajā vietā nestu 2. Izmantojiet VBoxManage bināro failu, kas pieder instalētajai VirtualBox versijai, jo vecāks ceļā var ierakstīt iestatījumus, kurus strādājošā versija ignorē.

Tā vietā iespējojot starpniekservera opciju, tiek izvēlēts cits mehānisms un netiek dota saimnieka risinātāja uzvedība. Pēc viesa startēšanas pārbaudiet DNS konfigurāciju, kas tam patiešām ir, jo viesa iekšienē piesprausts risinātājs vai šifrēta DNS iestatījums notur lietotnes citā ceļā neatkarīgi no tā, ko piedāvā adapteris.

Testējiet visā VPN dzīves ciklā, ne tikai vienreiz

Atkārtojiet abus vaicājumus viesī, pēc tam atveriet īsto lietotni un ļaujiet tai validēt TLS saimnieka nosaukumu. Tikai IP savienojuma tests labi izolē DNS, bet tas nav sertifikāta pārbaude un par tādu nav jāziņo. Pierakstiet nosaukumu, adresi un lietotnes rezultātu kopā.

Apstiprinātā logā atvienojiet un atkal pievienojiet saimnieka VPN un atkārtojiet testu. Rezultātam jāatbilst piekļuves politikai, un tas, ka publiskā atrisināšana atkal strādā, neko neizsaka par to, vai privātie vaicājumi palika paredzētajā ceļā.

Kad saimnieka risinātāja režīms neko nemaina, atgrieziet pierakstīto vērtību un saglabājiet novērojumus. VPN klients, kas izslēdz hypervisor trafiku, nesasniedzams iekšējais risinātājs un piesprausts viesa iestatījums katrs prasa citu labojumu, un adaptera savienošana tiltā maina tīkla dizainu, nevis atiestata DNS.