Дотоод нэрс VPN дээр шийдэгдэхгүй, харин нийтийн сайтууд нээгддэг

Нэг хэрэглэгч интранетын хост нэр VPN дээр шийдэгдэхгүй гэж мэдээлж байна. Мөн лаптопоос ирсэн хоёр дахь мэдээлэл, алдагдалын шалгалт орон нутгийн resolver-оос хариулт авсан асуулгыг одоо ч харуулж байна гэжээ. Тэд нэг асуудал мэт сонсогддог ч хоёр бөгөөд өөр нотолгоотой, эхнийхний ердийн засвар хоёр дахьыг улам дордуулдаг. Ямар ч тохиргоог хөндөхөөс өмнө тэдгээрийг салга.

Нэг гэмтэл биш хоёр шинж тэмдэг

Дотоод нэрийг шийдэж чадахгүй гэдэг нь асуулга түүнд хариулт байхгүй газар явсан гэсэн үг. Туннелиас гарч буй асуулга гэдэг нь хариулт боломжтой байсан ч асуулга буруу газар явсан гэсэн үг. Эдгээр нь эсрэг гэмтэл: нэг нь дутуу хариулт, нөгөө нь илүүц очих газар.

Хавх нь оффисын resolver-ийг хаа сайгүй нэмэх нь эхнийхийг засдаг ч хоёр дахьыг баталгаажуулдаг. Нийтийн resolver-ийг хаа сайгүй нэмэх нь эсрэг үр дүн өгдөг.

Хоёр ажиглалтыг цагийн тэмдэгтэй бичээд, дараа нь доорх дөрвөн шалгалтыг дарааллаар нь хий.

Аль адаптерийн resolver асуулгыг хүлээн авах вэ

Windows дээр DNS клиент серверүүдийг адаптерийн холболтын дарааллаар сонгодог бөгөөд туннелийн адаптер автоматаар эхнийх болдоггүй. Адаптерийн нарийвчилсан тохиргоог нээж, алсын хандалтын холболтыг физик адаптерийн дээр зөөж, дараа нь өөрчлөлт шинэ сессэд үйлчлэхийн тулд дахин холбогдоно уу.

Холболтын дараалал бол зөвхөн эхний хагас. Клиент аль нэрс тэр адаптерт хамаарахыг ч мэдэх ёстой бөгөөд энэ нь дарааллын бус, дагаврын асуудал.

Туннель асаалттай үед авсан ажиллаж буй машины ipconfig /all-г лаптопынхаа хажууд тавь. Ажиллаж буй машин оффисын адаптер дээрээ холболтод тусгай DNS дагавар харуулах бол лаптоп туннель дээр юу ч харуулахгүй байж болно. Энэ ялгаа нь сервер яг тэнд байгаа ч нэр нь шийдэгдэхгүй байна гэсэн мэдээллийн бүхэл ангиллыг тайлбарладаг, учир нь дагаваргүйгээр богино нэр оффисын resolver үйлчилдэг бүс хүртэл хэзээ ч нөхөгддөггүй.

Богино нэрэнд эхлээд дагавар, дараа нь маршрут хэрэгтэй

Мэргэшилгүй хост нэрийг бичих нь resolver-оос домэйн таахыг шаарддаг. Таамаглал нь холболтод хавсаргасан дагаврын жагсаалтаас гардаг бөгөөд тэр жагсаалт хоосон бол асуулга нэг шошго болж гарч, ямар ч хувийн бүс түүнтэй таарахгүй.

Ажиллаж буй машины дагаврыг VPN адаптерийн IPv4 шинж чанарт DNS таб дээр хуулж, дараа нь дахин холбогдоно уу. Linux дээр үүнтэй тэнцэх зүйл нь туннелийн холбоос дээрх хайлтын домэйн бөгөөд systemd-resolved үүнийг глобал байдлаар бус холбоос бүрээр харуулдаг.

Хоёр тохиргоог тэмдэглэлдээ тусад нь хадгал. Дагавар нь юу асуухыг өөрчилдөг, resolver-ийн хаяг хэнийг асуухыг өөрчилдөг. Нөгөө нь буруу байхад нэгийг засах нь санамсаргүй мэт харагдах үр дүн гаргадаг.

Resolver-оос шууд, дараа нь нэрнээс асуу

Оффисын resolver-т шууд хийсэн асуулга нэрийн асуудлыг замын асуудлаас салгадаг, учир нь энэ нь клиентийн resolver-ийн сонголтыг бүрэн тойрч гардаг.

nslookup intranet.corp.example 10.20.0.53
nslookup intranet
resolvectl status

Эхний команд тодорхой серверээс бүрэн мэргэшсэн нэр асуудаг. Хэрэв хариулбал resolver болон түүн рүү хүрэх зам хэвийн бөгөөд гэмтэл нь сонголт эсвэл дагаварт байна. Хэрэв хугацаа дуусвал хаяг буруу эсвэл хүрэхгүй бөгөөд асуудал нь DNS бус, маршрутлалт юм. Хоёр дахь команд богино нэрээр юу болохыг харуулах бол гурав дахь нь systemd хост дээр холбоос бүрийн resolver-ийн тохиргоог хэвлэнэ.

Зарим сүлжээ үл мэдэгдэх нэрст буцаадаг орлуулагч хариултад анхаар. Үнэмшилтэй харагдах хариулт нь зориулсан сервер хариулсан гэдгийн баталгаа биш тул буцаасан хаягийг дотоод үйлчилгээний бодитоор ашигладаг хаягтай харьцуул. Хэрэв хаяг нь зогсоолын хуудас эсвэл проксид хамаарах бол resolver хариулсан боловч хариулт чинь хэзээ ч таных байгаагүй. Энэ ялгаа нь бүх цагт ажиллаж байсан туннелийг мөшгихөд нэг цаг хэмнэдэг.

Linux дээр /etc/resolv.conf-г дахин бичдэг VPN клиент орон нутгийн resolver-уудыг бүрэн орлуулдаг. vpnc үүнийг зогсоох DNSUpdate no-г санал болгодог бөгөөд systemd-resolved зөвхөн жагсаасан домэйнуудыг туннелийн холбоос руу чиглүүлж чадна. Хоёр арга нийтийн нэрсийг орон нутгийн resolver дээр үлдээж, дотоод нэрсийг оффис руу илгээдэг.

Алдагдал бол дүрэм, чагтлах нүд биш

Нэрийн шийдэлт нь 53 порт руу UDP солилцоо тул вэб урсгалыг дамжуулдаг ч UDP дамжуулдаггүй туннель асуулгыг физик зам дээр үлдээдэг. Нийтийн нэрийг шийдэж байх үед физик NIC дээр бариж батал. Тэр интерфэйс дээр уншигдах хэлбэрээр харагдах асуулга нь туннель түүнийг дамжуулахгүй байгааг илтгэнэ.

sudo tcpdump -ni eth0 -c 20 'udp port 53'
resolvectl query example.com

Тэр интерфэйс дээр асуулга уншигдах хэлбэрээр гарч ирвэл туннель түүнийг дамжуулахгүй байна. Засвар нь 53 портыг зөвхөн VPN илгээсэн resolver-т зөвшөөрч бусад очих газрыг хасах дүрэм, мөн илгээсэн сонголтыг чимээгүй хаяхгүй клиентийн тохиргоо юм.

Тэр сүүлийн хэсэг нь харагдахаас илүү чухал. OpenVPN-ийг route-nopull-тэй эхлүүлбэл илгээсэн DNS сонголт маршрутуудын хамт алга болно, хэрэв татах шүүлтүүрийг түүнийг хадгалахаар өргөтгөхгүй бол. мөн dhcp-option DNS-г үл тоомсорлодог клиент өмнө байсан зүйлээ үргэлжлүүлэн ашиглана. Серверийн талын аливаа өөрчлөлт хүчин төгөлдөр болохын тулд шинэ сесс шаарддаг, учир нь resolver-ийн жагсаалт туннель босох үед хүргэгддэг ба хуучирсан сесс хуучин төлөвийг үзүүлсээр байна.

Тасалбарыг хаахаас өмнө ямар гэмтэл бодитоор ажиглагдсаныг тэмдэглэ. Дутуу дотоод хариулт болон туннелиас зугтсан асуулга өөр засвар шаарддаг бөгөөд эхнийхийг засдаг дагаврын өөрчлөлт хоёр дахьыг чимээгүйгээр дордуулж болно. Тасалбарыг дараагийн авах хүн шошгонд итгэх тул шошгыг үнэн зөв болго.