Името на домаќин во LAN не работи преку VPN: суфикс, mDNS или зона?

До уредот, печатачот одговара на кратко име, а серверот за датотеки на прекар. Низ тунелот, двете имиња истекуваат додека нивните адреси сѐ уште работат. Маршрутата ја врши својата работа; патеката за имиња што ги правеше тие кратки имиња функционални никогаш не го премина тунелот. Три механизми го создаваат тоа однесување и секој бара различно поправање.

Започнете со утврдување од кој механизам зависи името.

Три вида имиња што се однесуваат различно

Име со една ознака како fileserver обично се потпира на DNS-суфикс за пребарување што го додава резолверот. Тој суфикс често доаѓа со локалниот DHCP-закуп, така што оддалечен клиент што добива адресирање од VPN нема причина да го знае. Додавањето маршрута не го доставува суфиксот. Краткото име едноставно престанува да постои како име, иако адресата зад него е достапна.

Име што завршува на .local обично се решава преку multicast DNS на локалната врска, како што опишува RFC 6762. Multicast не преминува низ рутиран тунел освен ако нешто намерно не го премости или прокисира, па името престанува да се решава во моментот кога ја напуштате сегмента.

Целосно квалификувано име на компанија припаѓа на внатрешна зона што ја опслужуваат резолверите на организацијата. Тоа работи оддалечено кога VPN ги турка тие резолвери и клиентот е конфигуриран да ги користи. А localhost е специјална употреба според RFC 6761: се однесува на машината пред вас, никогаш на оддалечена услуга.

Прочитајте го резолверот пред да ја смените маршрутата

Прашајте кој сервер за имиња одговори и кој суфикс беше додаден. Истото барање преку различни резолвери дава различни одговори, и таа разлика е доказот што ви треба.

getent hosts fileserver
getent hosts fileserver.corp.example.com
nslookup fileserver.corp.example.com
dig +search fileserver A
resolvectl query fileserver.corp.example.com
scutil --dns | head -30

Ако целосно квалификуваното барање се решава, а краткото не, дефектот е во суфиксот, не во серверот. Ако ниту едно не се решава, а адресата работи, клиентот воопшто не го користи внатрешниот резолвер. Споредете ја листата на резолвери со она што VPN треба да го турка, бидејќи клиент што го чува својот локален резолвер за секое барање никогаш нема да ја види внатрешната зона.

Донесете го точното име до клиентот

Побарајте од администраторот документираното име за оддалечен пристап, целосно, и користете го во профилот наместо да погодувате суфикси. Ако распоредувањето поддржува split DNS, конфигурирајте внатрешниот домен да го решаваат внатрешните сервери, додека сѐ друго го задржува локалниот резолвер. Туркајте го доменот за пребарување преку VPN-конфигурацијата таму каде што клиентот го поддржува.

Проверете го резултатот на клиентот, а не на портата. Поставка применета на серверот што никогаш не стигнува до клиентот не менува ништо.

Зачувајте го идентитетот на сертификатот

Тест базиран на адреса што ја игнорира грешката на сертификатот докажува само дека сокетот се отворил. Сертификатот на услугата се издава за име, и клиентот ќе продолжи основано да го одбива несовпаѓањето. Ако сертификатот наведува само внатрешно име, користете го тоа име и поправете го решавањето, или набавете сертификат што ја покрива адресата што имате намера да ја користите.

Запишете го името, резолверот и суфиксот што дадоа успешна врска. Тој запис му заштедува на следниот човек повторување на заобиколното решение базирано на адреса што го крие вистинскиот проблем.