mDNS внатре во VPN: зошто .local имињата не се решаваат

Печатачот во вашата канцеларија се појавува во секоја апликација на вашата маса и исчезнува на VPN, иако можете да пингнете адресата за која знаете дека ја има. Ништо во тунелот не е расипано: откривањето и достапноста се одделни услуги, и стандардно само една од нив поминува низ рутиран тунел. Проверките подолу ги раздвојуваат пред да почнете да додавате рути. Рута не може да поправи барање што никогаш не ја напуштило врската.

Проверете што се решава денес и што само изгледа решено

Прво раздвојте ги двете прашања: unicast барање за име на домаќин прашува решавач, додека пребарувањето за _ipp._tcp ја прашува локалната врска. На Linux avahi-browse -a покажува што може да види multicast DNS, а resolvectl query name.local покажува што прави стекот на решавачот со тоа име. На macOS dns-sd -B _ipp._tcp ги набројува откриените услуги без претходно да бара адреса.

Ако адресата одговара, а името не, рутирањето работи, а откривањето не. Името .local може да се одговори и на самиот домаќин преку nss-mdns без инсталиран avahi-browse, па успешен getent или ping до тоа име не е доказ дека откривањето го поминало тунелот; резултатот од пребарувањето и резултатот од решавачот се различни докази. Апликациите го кешираат тоа што го откриле, затоа дефектот често се појавува часови по поврзувањето, а не при поврзувањето. Затворете ја и повторно отворете ја апликацијата, потоа проверете дали кешираниот запис содржи име или адреса, бидејќи адресата продолжува да работи долго откако откривањето запрело.

Зошто барањето никогаш не го поминува тунелот

Multicast DNS испраќа барања до 224.0.0.251, внатре во контролниот блок на локалната мрежа, на UDP порта 5353. Рутерите не пренесуваат адреси од тој блок, затоа барањето останува на врската на која е испратено. Испраќачите исто така го поставуваат IP TTL или ограничувањето на скокови за IPv6 на 255, за да може примачот да одбие пакет што веќе поминал низ рутер; така протоколот открива лажирање надвор од врската, а не така останува локален. Локалноста доаѓа од целната адреса, а не од TTL на еден скок.

Типот на тунелот исто така е важен. Интерфејс од стилот tun пренесува IP пакети и ништо друго, па ниту една multicast група не преживува низ него. Мост од стилот tap го проширува самиот домен на емитување, затоа некои стари дизајни правеле мост наместо рутирање и ги наследиле сите проблеми што ги носи мостот.

Исклучокот за доверлива LAN не менува ништо од ова, бидејќи одлучува кој сообраќај смее да го користи тунелот, наместо да го учи тунелот да пренесува multicast. Пакетот и понатаму нема заеднички сегмент на кој би се слушнал.

Изберете дизајн на имиња што можете да го одржувате

За ресурсите на компанијата, трајниот одговор е рутирано име на домаќин што го служи решавачот што го турка VPN, со поделен DNS за внатрешните имиња да одат на внатрешни сервери, а сето друго не. Windows го прикажува како табела за политика на решавање имиња, macOS користи ограничени решавачи по интерфејс, а повеќето клиенти имаат еквивалентна поставка за туркање. Уредот го задржува своето вообичаено име во внатрешниот DNS, а откривањето престанува да биде дел од патеката.

Прокси за откривање или mDNS рефлектор може да ја премости оваа празнина, и тоа е вистински дизајн со сопствен домаќин, сопствена изложеност и сопствени барања за клиенти. Не се појавува затоа што додадовте рута. Никогаш не препраќајте .local барања до јавен решавач: доменот е резервиран за локална multicast употреба според RFC 6762, а неговото испраќање надвор предизвикува бавни дефекти и непотребно откривање податоци.

Проверете ја услугата, а не името

Име во списокот за пребарување го докажува чекорот на откривање, а не дека услугата одговара. Отворете го редот за печатење или веб-интерфејсот и завршете вистинска операција, потоа повторете ја по повторното поврзување.

Откривањето агресивно ги кешира имињата, па застарен запис може да изгледа како успех. Ако се појави сертификат или барање за автентикација, тоа е следниот слој и одделен проблем. Запишете кој механизам го сменивте, решавачот или откривањето, за да не мора следната личност повторно да го отвора целото прашање.