Хуваасан DNS ба VPN: домэйн дүрэм нь IP маршрут биш
Хуваасан DNS шийдэгчийг нэрээр сонгодог бөгөөд хариултад маршрут хэрэгтэй хэвээр. Домэйн дүрэм болон замыг тус тусад нь, бодитоор ажиллуулж буй платформ дээр шалга.
Таны зөөврийн компьютер intranet.corp-г туннелээр шийддэг бол gitlab.com үйлчилгээ үзүүлэгчийн шийдэгч рүү үргэлжлүүлэн явдаг бөгөөд энэ нь төлөвлөсний дагуу ажиллаж буй зохион байгуулалт юм. Үүнийг хоёр тусдаа шийдвэр бий болгосон: нэрний тохирлын дүрэм шийдэгчийг сонгож, маршрут хариултыг буцааж авчирсан. Аль нэгийг нь эвдвэл хөтөч гаднаас ижил харагдах алдаа харуулна. Хуваасан DNS-ийн ихэнх тайлан хоёр дахь алдааг дүрсэлж, эхнийх тухай нотолгоо иш татдаг.
Хоёр хагас нь өөр өөр газар амьдардаг бөгөөд ихэвчлэн өөр хүмүүс засварладаг. Нэг нь VPN профайлд хавсаргасан DNS бодлого, нөгөө нь туннель суулгах эсвэл барих маршрут юм. Аль хагас нь үнэхээр хөдөлснийг хэн ч тогтоохгүй бол дибаг зогсдог.
Нэг хүсэлтэд нуугдсан хоёр шийдвэр
Нэрний хагас нь бодлогын объект бөгөөд маршрут биш. Windows-д энэ нь VPN профайл дээрх нэр шийдвэрлэх бодлого; Apple платформуудад DNS тохиргооны объект дээрх тохирох домэйнүүдийн багц; Linux-д маршрутжуулалтын домэйн, хуваасан шийдэгчийн мөр эсвэл нэр үйлчилгээний унтраалгын дараалал юм. Замын хагас нь туннель эсвэл гараар суулгасан энгийн маршрутжуулалт бөгөөд хост нэр гэж юу болохыг мэддэггүй. Дагавар зөвшөөрсөн профайл нь зөвхөн хэн хариулахыг шийддэг; энэ нь хариултыг хэзээ ч хүрч болохоор болгодоггүй.
Хурдан шинж тэмдгийн тест тэдгээрийг тусгаарладаг: нэрийг хаягаар солино уу. Хаяг ажиллаж байвал зам зөв, дүрэм буруу. Хаяг ч бүтэлгүйтвэл дүрэм зөв байж, зам дутагдаж болно.
Платформ бүр ижил нэрний дүрмийг хэрхэн илэрхийлдэг
Зорилго ижил, талбарын нэрс тийм биш. Нэг клиентээс нөгөө рүү хуулсан жишээ цэвэр парслагдаж, хэзээ ч тохирохгүй. Гурван хэлбэр ийм харагдана:
| Platform | Where the rule lives | What usually breaks |
|---|---|---|
| Windows | name-resolution policy on the VPN profile | precedence against the interface suffix list |
| Apple platforms | match domains on the DNS settings object | domains attached to the wrong extension |
| Linux | routing domain, split resolver, nsswitch order | the suffix written the wrong way round |
Тохирлын эсвэл маршрутжуулалтын домэйн нь дагаврын тест тул intranet.corp нь git.intranet.corp-г хамарч, corp.intranet-г хамахгүй, үүнийгээ эргүүлэх нь бүх тохиргооны хамгийн түгээмэл алдаа юм. Windows зураглалыг профайлд хавсаргасан нэр шийдвэрлэх бодлого хэлбэрээр авч явдаг бөгөөд интерфейст өмнө нь байсан дагаврын жагсаалттай харьцуулахад өөрийн давуу эрхийн дараалалтай. Apple платформууд тохирох домэйнүүдийг сүлжээний өргөтгөлийн DNS тохиргооны объектод хавсаргаж, систем тэдгээрийг хамрах хүрээтэй шийдэгч бүрд хэрэглэдэг. Эдгээр хэлбэрийн аль нь ч маршрут биш бөгөөд аль нь ч хүрэх боломжгүй хаягийг хүрч болохоор болгож чадахгүй. Windows нэр шийдвэрлэх бодлого лавлагаа нь тухайн платформын талбарын нэрс, давуу эрхийн дүрмийг жагсаасан бөгөөд тэдгээр нь Apple эсвэл systemd баримт бичгийн ашигладаг дүрэм биш юм.
Зөв хариултад ч зам хэрэгтэй
Шийдэгчийн хариулт нь зөвхөн хаяг, аппликейшн тэнд хүрэх ёстой хэвээр. Хуваасан туннелийн загвар ихэвчлэн 10.20.0.0/16-г түлхэж, анхдагч маршрутыг бариад үлдээдэг тул дотоод нэр шийдэгдэж, дараа нь холболт дүүжлэгдэнэ. Эсрэг тохиолдол ч мөн адил түгээмэл: маршрут байгаа, нийтийн шийдэгч хувийн нэрэнд NXDOMAIN-аар хариулж, алдаа маршрутжуулалтын асуудал гэж бүртгэгддэг. Замыг эхлээд шалгах нь таныг хэзээ ч шийдэгдэхгүй нэрний маршрутууд руу харж үлдээдэг.
Аль ч хагас хамрахгүй гурав дахь хаалга байна. Гарцын ACL, галт хананы дүрэм эсвэл клиент талын бодлого хоёр шийдвэр зөв байсны дараа холболтыг унагаж болно. Нэр шийдэгдэж, маршрут байгаа ч холболт хугацаа хэтэрсээр байвал DNS шалгахаа зогсоо.
Нэр, замыг тогтмол дарааллаар шалгах
Дараалал сонгоод баримтал, эс бөгөөс хамгийн сүүлд бүтэлгүйтсэн алхмыг мөшгинө. Баримтжуулсан бүрэн дотоод нэрийг шийдэж, хариулт нь маршрутын хүснэгт дааж чадах хаяг мөн эсэхийг баталгаажуул, дараа нь нийтийн нэрээр давтаж туннель бүгдийг барьж аваагүйг нотол. systemd хост дээр асуулга болон шийдэгчийн маршрутжуулалтын домэйн нэг командын зайд байна:
resolvectl query intranet.corp
resolvectl domain
ip route get 10.20.5.10Windows клиент ижил хоёр асуултыг өөр cmdlet-ээр асуудаг. Хоёр дахь нь систем үнэхээр ашиглах интерфейсийг мэдээлнэ:
Resolve-DnsName intranet.corp -Type A
Find-NetRoute -RemoteIPAddress 10.20.5.10Хайлт хаяг буцааж, замын шалгалт физик интерфейсийг нэрлэвэл нэрний дүрэм ажиллаж, маршрут ажиллаагүй. Богино нэр бүтэлгүйтэж, бүрэн нэр шийдэгдвэл дагаврын жагсаалт буруу, шийдэгч биш.
Харьцуулалт ихэвчлэн хаана алдаа гаргадаг
Эхний алдаа нь холбоогүй нийтийн шийдэгчээс хувийн нэрийн талаар асууж, татгалзлыг VPN-ийн тухай нотолгоо гэж унших явдал. Хоёр дахь нь ажиллаж буй нийтийн хайлт туннелийн шийдэгчийн замыг нотолдог гэж үзэх явдал. Гурав дахь нь хуваасан туннель болон хуваасан DNS-ийг нэг загварын шийдвэр гэж үзэх боловч байршуулалт нэгд нь зөв, нөгөөд нь эвдэрхий байж болно. Алдаа бүр буруутгагдсан хэсгийг хэзээ ч дасгалжуулаагүй тестээс итгэлтэй дүгнэлт гаргадаг.
Өөрийн аюулгүй DNS-тэй хөтөч ч системийн дүрмийг тойрч болох тул нэг хөтөч бүтэлгүйтэж, нөгөө нь амжилттай байх нь зөрчил биш. Хариулсан шийдэгчтэй харьцуул, гомдоллосон хөтөчтэй биш.
Хоёр хагас харагдах болмогц үлдсэн асуулт нь техникийн бус, бодлогын асуулт: ямар нэрийн орон зай байгууллагад хамаарах, хариулт бүрийн эзэн хэн бэ, тэдгээрийн аль нь машиныг орхих ёстой вэ. Үүнийг профайлын хажууд бич, учир нь дүрэмд дараагийн хүрэх хүнд энэ хэрэгтэй болно.