Поделениот тунел го исклучува браузерот, не неговите DNS барања

Директната патека на податоци не го поместува разрешувањето имиња. Проверете кој резолвер го добива барањето и дали тоа било намерата, пред да го наречете истекување.

Браузерот е исклучен од тунелот, страницата со јавната IP потврдува дека неговиот сообраќај излегува преку домашната врска, а внатрешното вики уште не се отвора. Разрешувањето имиња отиде на друго место, а тоа друго место обично е резолверот што го поставил VPN. Патеката на податоци и патеката на резолверот се одделни одлуки во повеќето дизајни на поделен тунел. Проверете која браузерот навистина ја користел пред да го наречете исклучувањето расипано.

Патеката на податоци и патеката на резолверот се разделуваат

Исклучувањето ги отстранува пакетите на апликацијата од тунелот, што е одлука за рутирање и огнена брана на патеката на податоци. Разрешувањето имиња е друго пребарување: процесот го прашува системскиот резолвер, и тој резолвер одлучува кој сервер ќе го добие прашањето.

И двете можат да бидат намерни и различни. Работно распоредување може да ги задржи внатрешните именски простори на корпоративниот резолвер, а избраното јавно прелистување да го испрати надвор од тунелот, токму затоа што внатрешните имиња не се разрешуваат на друго место. Збунувачкиот случај е обратен: јавна страница не успева зашто браузерот никогаш не го прашал резолверот што го очекувало распоредувањето. Запишете ја рутата и резолверот одделно, и половина од расправиите исчезнува.

Откријте кој процес го поставува прашањето

Браузерот може да го користи системскиот резолвер, сопствената шифрирана DNS служба или резолвер што оперативниот систем го доделува за секоја мрежа. Првиот ја следи политиката на платформата, вториот целосно ја заобиколува таа политика, а третиот зависи од тоа на која врска се рутира барањето.

resolvectl status
resolvectl query intranet.example.net
dig +short +time=2 intranet.example.net @10.52.0.2
scutil --dns | head -n 40

Прочитајте ја важечката конфигурација пред тестирање: кои врски носат DNS сервери, кои именски простори ги бараат и дали политиката по име го надминува стандардното. На Linux поделениот DNS користи домени за рутирање; на Windows табелата со политика за разрешување имиња го прави истото за именските простори. Ниту едно не се гледа од страница за тест на истекување.

Одлучете кој резолвер гледа кое име

Запишете го планираното мапирање пред да промените нешто: внатрешни имиња кон корпоративниот резолвер, јавни имиња кон службата што политиката ја дозволува, и исклучоци со одговорно лице. Без тој список, секоја ознака од тестот на истекување станува политичка расправија што никој не може да ја затвори.

Потоа проверете ја сопствената поставка на браузерот, зашто шифрираниот DNS во браузерот се применува пред оперативниот систем да го добие барањето. Корисникот што го вклучил за да заобиколи портал за заробување тивко го надминал резолверот што го избрало распоредувањето. Тоа е одлука за конфигурација, а не истекување, и заслужува одлука, а не список за блокирање.

Не препишувајте го секое DNS поле за една ознака од тестот да стане зелена. Ознаката опишува едно барање од еден процес во еден момент.

Проверете го барањето и врската одделно

Тестирајте ги двете патеки независно. Тестот на врската ја покажува рутата на податоци, а тестот на резолверот покажува кој го добил името.

curl -sS --max-time 8 https://api.ipify.org
resolvectl query example.net
dig +short example.net

Прашајте го резолверот и експлицитно, за да може неуспехот да му се припише на серверот, а не на патеката. Потоа рестартирајте го браузерот и повторете, зашто апликациите кешираат негативни одговори и стариот неуспех изгледа постојан.

По одобрена промена, запишете ја рутата на податоци и примачот на резолверот како два одделни реда со датумот. Ако однесувањето се врати при следното поврзување, треба да се поправи профилот што го дава, не браузерот.

Поврзани статии