Аль холболт хариу өгөх вэ: split-tunnel VPN DNS-ийн чиглүүлэлтийн домэйнууд

Энгийн хөтлөлтийг локал холболт дээр үлдээж, компанийн нэрс туннелийн өгдөг DNS серверээр шийдэгдэнэ. VPN-ийн өгөгдмөл маршрутыг унтраавал эхний хагасыг өгч, хоёр дахь хагасыг баригдаагүй үлдээнэ. Дараа нь дутуу тохиргоо, түүний утгыг өөрчилдөг цэг таслал, аль холболт үнэхээр хариу өгснийг харуулах ганц команд ирнэ. Бүх текстэд NetworkManager болон systemd-resolved гэж үзнэ, учир нь төөрөгдөл ихэвчлэн энэ хосоос эхэлдэг.

Эхний алхам: маршрутыг шийдэгчээс тусгаарла

ipv4.never-default нь чиглүүлэлтийн асуултад хариулж, NetworkManager-т энэ холболтыг бүх IPv4 урсгалын зам болгон суулгахыг хориглодог. DNS чиглүүлэлтийн домэйн өөр асуултад хариулна: тохирох суффиксын хүсэлтийг аль холболтын нэрийн серверүүд хүлээн авах вэ. Аль нь ч нөгөөгөө шаарддаггүй бөгөөд профайл жилээр нэгийг агуулж, нөгөө нь дутуу байж болно. Зөвхөн маршрут гэдэг нь туннель компанийн дэд сүлжээг зөөж, түүний шийдэгч компанийн нэрсэд хариулж, бусад бүхэн хөндөгдөөгүй үлдэнэ гэсэн үг.

Зөвхөн маршрутын шинж чанарыг тохируулбал дотоод нэрс бүтэлгүйтнэ, ихэвчлэн эвдэрсэн туннель мэт сонсогдох хугацааны хязгаартай. Зөвхөн домэйныг тохируулбал машины бүх богино нэрэнд хайлтын суффиксыг чимээгүй нэмсэн байна. Хоёр алдаа хоёулаа тасалбарыг VPN сервер рүү илгээдэг бөгөөд тэр нь алдаатай хэсэг байх нь ховор.

Хоёр дахь алхам: профайлд зөвхөн-чиглүүлэлтийн домэйн нэм

Холболтыг corp-vpn гэж нэрлэдэг, компанийн суффикс нь internal.example, туннелийн шийдэгч аль хэдийн хүрч болохоор байна гэж бодъё. Эхлээд одоогийн утгуудыг унш, учир нь доорх командууд аль хэдийн бичлэгтэй байж болох шинж чанаруудыг өөрчилдөг.

nmcli connection show corp-vpn | grep -E 'dns-search|never-default'
nmcli connection modify corp-vpn +ipv4.dns-search '~internal.example'
nmcli connection modify corp-vpn ipv4.never-default yes

Өөрийн холболтын нэр, суффиксаар соль, учир нь дээрх утгууд жишээ юм. Нэмэх тэмдэг харагдахаас илүү чухал: түүнтэй утга одоо байгаа жагсаалтад нэмэгдэж, түүнгүйгээр шинж чанар солигдож, өчигдөр ажиллаж байсан профайлаас холбоогүй домэйнууд алга болно. Тильд нь загвар биш зан төлөвийг өөрчилдөг бөгөөд доорх догол мөр юу сонгодогийг тайлбарлана. Бичихээс өмнө уншилтыг хадгал, орлуулах хэлбэр чамайг хэзээ ч гайхшруулахгүйн тулд.

Эхний тильд нь зөвхөн-чиглүүлэлтийн домэйныг тэмдэглэдэг тул тохирох хүсэлтүүд энэ холболтын сервер рүү явж, суффикс богино нэрсэд нэмэгдэхгүй. Тильдийг авбал ижил мөр хайлтын суффикс болж, энэ нь хүмүүсийн ховор зорьдог өөр үр дүн юм. Дээрх хоёр тохиргоо IPv4 тул хос стектийн профайлд ipv6.never-default болон ipv6.dns-search дотор ижил чиглүүлэлтийн домэйн хэрэгтэй, эс бөгөөс IPv6 тал өгөгдмөл маршрутыг үргэлжлүүлэн ашиглаж, тэнд дотоод нэрс бүтэлгүйтнэ.

Гурав дахь алхам: resolvectl-ээс аль холболт хариу өгснийг асуу

resolvectl status ажиллуулж холболт бүрийн DNS сервер, домэйныг унш, дараа нь асуух зөвшөөрөлтэй бодит дотоод нэр дээр resolvectl query host.internal.example ажиллуул. Хоёр дахь команд нь чиглүүлэлтийн домэйн ажлаа хийж байгаагийн цорын ганц шууд нотолгоо, учир нь энэ хариу өгсөн холболтыг нэрлэдэг. Зөвхөн төлөвийн жагсаалт тохиргоог нотолж, асуулга шийдлийг нотолно.

systemd-resolved хамгийн сайн тохирох чиглүүлэлтийн домэйныг сонгодог тул өөр холболтын илүү тодорхой домэйн уралдааныг ялж чадна. Асуулга хүлээгээгүй холболтоос буцаж ирвэл VPN-ийн DNS серверт хүрэхээс өмнө домэйны жагсаалтыг унш. ~. үндсэн домэйн бүх зүйлд тохирдог бөгөөд хэрэв аль хэдийн байвал таны тодорхой домэйн өөрийн нэрсэд ялсаар байх боловч холболт асууснаас хамаагүй илүү зүйлд хариулна. Зорилго зөвхөн компанийн нэрс байсан бол тэр үндсэн бичлэгийг устга эсвэл нарийсга.

VPN холболт DNS серверийг огт жагсаахгүй бол клиент хэзээ ч бүртгээгүй. Арын сервергүй чиглүүлэлтийн домэйн дутуу домэйнээс өөрөөр бүтэлгүйтдэг тул эхлээд бүртгэлийг зас.

Дөрөв дэх алхам: нэр шийдэгдэх боловч үйлчилгээ шийдэгдэхгүй үед

Зөв хариулт нь шийдэл ажилласныг л нотолж, програмад олж авсан хаяг руу очих маршрут хэрэгтэй хэвээр. Тэр маршрут саяхан тохируулсан хуваагдсан өгөгдмөлийг давах ёстой тул DNS-ийг дахин буруутгахаас өмнө шалга. Дараа нь үйлчилгээний порт дээр хүрэх боломжийг шалга, учир нь файл хуваалцах эсвэл лавлах үйлчилгээ шийдэл, чиглүүлэлт, баталгаажуулалтад бүтэлгүйтэж, тохиолдол бүрт маш төстэй мессеж өгдөг. Үр дүнг мэдээлэхдээ эдгээр гурван давхаргыг тусд нь бариад бай, эс бөгөөс дараагийн хүн аль хэдийн зөв байсан DNS-ийг дахин шалгана.

Энэ асуултын хажууд эргэлдэж буй Samba-гийн өөрчлөлт нь хандалтын давхаргын асуудал бөгөөд DNS-ийн сонголт биш. Үүнийг нэр шийдлийн гэмтэлд хэрэглэх нь жижиг асуудал хоёр дахь асуудалтай болох зам юм.

Тав дахь алхам: дутуу домэйныг засахын тулд шийдэгчийг сольж болохгүй

Шийдэгчийн файлыг дарж бичих эсвэл өөр шийдэгчийн менежер суулгах зөвлөмж өөр асуудлыг шийддэг. Эдгээр нь системийн интеграцийн өөрчлөлтүүд бөгөөд өөрийн гэмтлийн горимтой бөгөөд аль нь ч хэзээ ч тохируулаагүй чиглүүлэлтийн домэйн нэмэхгүй. Машинд нэр шийдлийг аль бүрэлдэхүүн эзэмшиж байгааг солихоос өмнө тодорхойл, учир нь systemd-resolved-той NetworkManager ширээний орчинд энэ эзэмшил аль хэдийн тодорхойлогдсон. Түүнтэй тэмцэх нь ажиллаж буй тохиргоог хэн ч давтаж чадахгүй зүйл болгох зам юм.

Ажлын дараалал: туннель шийдэгч өгдөг гэдгийг батал, зөвхөн-чиглүүлэлтийн домэйныг нэм, профайлын удирдлагаар дахин холбогд, хариу өгсөн холболтыг шалга, дараа нь үйлчилгээг порт дээр нь туршиж үз. Энэ дараалал хоёр дахь ярилцлагагүйгээр дараагийн хүнд өгч болох үр дүнг үлдээдэг.