DNS на гостинот во VirtualBox NAT се расипува кога домаќинот ќе се приклучи на VPN

На Windows домаќин внатрешното име на апликацијата се решава штом VPN се поврзе, а внатре во Ubuntu гостин не. Гостинот ги задржува своите поставки за резолвер, а NAT адаптерот пред него може да одговори на DNS барањата на два различни начина. Насочување на гостинот кон јавен резолвер ги вчитува страниците повторно, но приватните имиња остануваат расипани. Затоа патеката на резолверот се следи пред ништо да се смени.

Следете едно барање низ NAT адаптерот

За контрола изберете едно внатрешно целосно квалификувано име и едно јавно име. Со кренат тунел, на домаќинот потврдете дека внатрешното име се решава и дека апликацијата зад него се отвора. Потоа извршете ги истите две барања внатре во гостинот и споредете ги одговорите, не алатките.

Пред да продолжите, потврдете дека адаптерот е навистина обичен NAT. Мост-адаптерот, именуваната NAT мрежа и вториот VPN клиент внатре во гостинот секој има своја конфигурација и свое објаснување. Погодувањето во овој момент ја троши остатокот од истрагата.

VBoxManage showvminfo work-ubuntu --machinereadable | grep -i natnet
resolvectl status | head -40
cat /etc/resolv.conf

Првата команда го покажува режимот на адаптерот и секоја NAT мрежа поврзана со него. Внатре во Ubuntu гостин втората ги наведува DNS поставките по врска, а третата често открива само локална stub адреса, што значи дека вистинскиот upstream е на друго место.

Држете ги решавањето и достапноста одвоено. Гостин што ја добива точната адреса но не може да отвори врска има проблем со рутирање, филтрирање или дозвола за услуга, и понатамошните DNS промени никогаш нема да го допрат. Тестирајте ја адресата одделно и запишете кое од двете не успеа.

Прокси режимот и режимот на резолверот на домаќинот се различни механизми

Во прокси режим NAT машината ги препраќа барањата на гостинот до DNS сервери што веќе ги знае. Во режим на резолвер на домаќинот, таа го пресретнува барањето и бара од оперативниот систем на домаќинот да го реши името со она што домаќинот го користи сега. Само вториот следи VPN клиент што го препишува решавањето на домаќинот кога тунелот се крева. Затоа двете поставки даваат различни одговори на иста машина.

Таа разлика е целиот проблем во една реченица. Давање на гостинот список со адреси на сервери не е исто како барање од Windows да реши име преку својот конфигуриран резолвер, а на VPN со поделен DNS двата одговори се разликуваат. Опцијата на адаптерот е за механизмот, не за дозволата.

Ниту еден режим не дава пристап до ништо. Авторизацијата живее во VPN политиката и во услугата, а барање што работи значи само дека име станало адреса.

Сменете го адаптерот, потоа проверете што прима гостинот

Прво запишете ги мрежните и DNS поставки на VM, потоа исклучете ја машината за да ја уредувате постојаната конфигурација. За VM по име work-ubuntu чиј прв адаптер носи NAT, опцијата по адаптер се поставува од домаќинот додека VM е исклучена. Потоа стартувајте ја повторно и прегледајте го резултатот наместо да му верувате на излезниот статус.

VBoxManage modifyvm work-ubuntu --natdnshostresolver1 on
VBoxManage showvminfo work-ubuntu --machinereadable | grep -i natdns

Последната цифра го избира бројот на адаптерот, така што не е универзална вредност; поставка за адаптер 2 би носела 2 на тоа место. Користете ја VBoxManage бинарната податотека што припаѓа на инсталираната верзија на VirtualBox, бидејќи постара на патеката може да запише поставки што верзијата што работи ги игнорира.

Вклучувањето на прокси опцијата наместо тоа избира друг механизам и не ви дава однесување на резолвер на домаќинот. По стартувањето на гостинот, проверете ја DNS конфигурацијата што навистина ја има, бидејќи закачен резолвер или поставка за шифриран DNS внатре во гостинот ги држи апликациите на друга патека без оглед на тоа што го нуди адаптерот.

Тестирајте низ целиот животен циклус на VPN, не само еднаш

Повторете ги двете барања во гостинот, потоа отворете ја вистинската апликација и дозволете ѝ да го валидира TLS името на домаќинот. Тестот на врска само преку IP добро го изолира DNS, но не е проверка на сертификат и не треба така да се пријавува. Запишете ги името, адресата и резултатот на апликацијата заедно.

Во одобрен прозорец, исклучете и повторно поврзете го VPN на домаќинот и повторете го тестот. Резултатот треба да одговара на политиката за пристап, а тоа што јавното решавање повторно работи не кажува ништо за тоа дали приватните барања останале на предвидената патека.

Кога режимот на резолвер на домаќинот не менува ништо, вратете ја запишаната вредност и задржете ги набљудувањата. VPN клиент што го исклучува сообраќајот на hypervisor, недостапен внатрешен резолвер и закачена поставка на гостинот секој бара поинаква поправка, а премостувањето на адаптерот го менува дизајнот на мрежата наместо да го ресетира DNS.