VPN холбогдсон ч нэр шийдэгдэхгүй байна: DNS үнэхээр хаана эвдэрдэг

Туннель өргөгдсөн, дүрс ногоон, хөтчийн булан бүр нэр шийдэх алдааг мэдээлж байна. Энэ зургийг гурван өөр механизм үүсгэдэг: шийдэгч хүрэхгүй байж болно, клиент таны хүлээгээгүй шийдэгчээс асууж болно, эсвэл зөвхөн хувийн нэрнүүд бүтэлгүйтэж болно. Туннелийн протоколд ямар нэгэн өөрчлөлт хийхээс өмнө тэдгээрийг тусгаарлаарай, учир нь тус бүр өөр газарт засагдана. Доорх дараалал гурвыг тусгаарлах ажиглалтуудаас эхэлнэ.

Хайлтад үнэхээр юу хэрэгтэй

Хайлтад гурван зүйл хэрэгтэй: шийдэгчийн хаяг, тэр хаяг хүртэлх маршрут, асуултад таарах хариулт. Тус бүр дангаараа бүтэлгүйтэж болох ба харагдах шинж тэмдэг нь ачаалагдахгүй байгаа тэр л хуудас юм. Тиймээс гурвын аль нь эвдэрснийг мэдэх хүртэл алдааны хуудас танд бараг юу ч хэлэхгүй.

Клиент шийдэгчээ VPN профайлаас, туннелийн DHCP-ээс эсвэл өөрийн тохиргооноос суралцдаг бөгөөд аль эх сурвалж ялах нь платформоос хамаарна. Windows дээр ipconfig /all адаптер бүрийн DNS серверүүдийг хэвлэдэг тул илгээсэн утга үнэхээр хүрсэн эсэхийг харж болно. Үйлдлийн системд хэзээ ч хүрээгүй илгээсэн утга нь чимээгүй бөгөөд нийтлэг алдаа юм. Профайлд хүрэхээс өмнө тохируулсан утгыг уншаарай.

Linux болон macOS ижил асуултад өөр командаар хариулдаг бөгөөд хариулт нь мөн адил уншигдах ёстой: resolvectl status болон scutil --dns хоёулаа серверүүдийг интерфэйсээр жагсаадаг. Тэр жагсаалтыг профайл илгээдэг гэж мэдэгдэж буй хаягтай харьцуул. Эндхийн зөрүү доорх бүхнийг тайлбарлах тул нэр туршихаас өмнө үүнийг шийдвэрлэ.

Нэг нийтийн, нэг хувийн нэрийг туршиж үзээрэй

Ердийн нийтийн хост нэр болон баримтжуулсан хувийн хост нэрийг нэг машинаас асууж, аль сервер аль нэгэнд хариулсныг бичээрэй. Хоёулаа бүтэлгүйтвэл шийдэгч эсвэл түүний маршрут эвдэрсэн байна. Зөвхөн хувийн нэр бүтэлгүйтвэл шийдэгч хариулсан бөгөөд асуулт бүс эсвэл чиглүүлэлт болно. Маршрутын өөрчлөлт зөрүүг тайлбарлахгүйн тулд хоёр асуултыг нэг минутын дотор гүйцэтгээрэй.

Дотоод нэрсийг нийтийн дэлгэцийн зураг болон нийтийн шийдэгчээс гадуур байлга. Хугацаа дуусах ба байхгүй домэйны хариулт нь өөр ажиглалт юм: эхнийх нь юу ч буцаж ирээгүй гэж хэлдэг, хоёр дахь нь эрх мэдэл тухайн нэр байхгүй гэж хариулсан гэж хэлдэг. Хоёуланг нь нэг алдаа гэж үзвэл буруу давхаргад орно, харин гэрчилгээний анхааруулга дахин гурав дахь зүйл бөгөөд DNS алдаа биш.

nslookup асуусан сервер болон хүлээн авсан хариултыг хоёуланг нь хэвлэдэг бөгөөд энэ нь танд яг хэрэгтэй хос юм. Үүнийг ижил бүрхүүлд хоёр удаа ажиллуулж, хариулсан хаягийг хариулт бүрийн дэргэд бичээрэй.

nslookup example.com
nslookup host.corp.example 10.20.30.53

Клиент тэр серверт үнэхээр хүрч чадах эсэхийг баталгаажуулаарай

Профайлын илгээсэн хувийн шийдэгч нь туннель өргөгдсөн үед клиент түүнд хүрч чадвал л ашигтай. Зөв харагдах хаяг маршрутгүй бол хугацаа дуусахыг үүсгэдэг бөгөөд туннелийн холбогдсон төлөв тэр маршрутын талаар юу ч хэлэхгүй. Шалгалт нь VPN-ийн төгсгөлийн цэг рүү биш, шийдэгч рүү өөрөөр нь чиглэсэн маршрутын хайлт юм.

Платформ бүр үүнд нэг мөрөөр хариулдаг бөгөөд гаралтад дурдсан интерфэйс нь бүх хариулт юм. Хэрэв шийдэгч туннелийн ард байхад энэ нь физик адаптер руу зааж байвал профайл түүнийг хамарсан префикс илгээхгүй байна.

ip route get 10.20.30.53                      # Linux
route -n get 10.20.30.53                     # macOS
Find-NetRoute -RemoteIPAddress 10.20.30.53   # Windows PowerShell

Хуваасан туннелийн профайлд шийдэгч илгээсэн маршрутаас гадуур байж болох бөгөөд энэ нь серверийн бус, профайлын асуудал юм. Шийдэгчийн хаягийг илгээсэн префиксүүдтэй харьцуулж, тэдгээрийн нэг нь түүнийг хамарч байгааг баталгаажуулаарай. Мөн адил зөрүү нь DNS нэг сүлжээнд ажиллаж, ижил профайлтай нөгөөд нь яагаад бүтэлгүйтдэгийг тайлбарладаг.

Хөтчүүд системийн шийдэгчийг тойрч болно гэдгийг санаарай

Аюулгүй DNS идэвхтэй хөтөч HTTPS-ээр өөрийн сонгосон үйлчилгээ үзүүлэгч рүү асуулт илгээж, үйлдлийн системийн шийдэгчийг бүрмөсөн үл тоомсорлож болно. Тэгвэл систем зөв харагдах боловч хөтөч бүтэлгүйтнэ, эсвэл эсрэгээрээ. Энэ нь туннелийн бус, хөтчийн бодлогын асуудал юм.

Хөтчийн аюулгүй-DNS тохиргоо болон түүнийг хянадаг аливаа удирдлагатай бодлогыг шалгаад, туннелийг өөрчлөхгүйгээр хоёр дахь аппликейшн эсвэл хөтчийг туршаад үзээрэй. Зөвхөн нэг аппликейшн бүтэлгүйтвэл засвар тэр аппликейшнд хамаарна. Хувийн цонх цэвэр харьцуулалт биш, учир нь энэ нь нэг хөтчид өргөтгөлүүдийг анхдагчаар идэвхгүй болгож, нөгөөд нь болохгүй байж болох бөгөөд хэзээ ч удирдлагатай бодлогыг тойрдоггүй. Оронд нь хоёр дахь хөтчийн профайл эсвэл өөр аппликейшн ашиглаарай.

Кэшийг цэвэрлээд бодит ажлыг дахин туршаарай

Тохиргоог зассаны дараа локал шийдэгчийн кэшийг цэвэрлэж, хуучин хариулт засвараас урт наслахгүй байг. Богино сэргэлтийн дараа дахин бүтэлгүйтэл нь шалтгаан одоо ч байгааг илтгэнэ, цэвэрлэлт бүтэлгүйтсэнгүй. Гурван кэш тусдаа тул таны ажиллаж буй машинтай тохирох мөрийг сонгоорой.

ipconfig /flushdns                 # Windows
resolvectl flush-caches            # Linux
sudo killall -HUP mDNSResponder    # macOS

Дараа нь синтетик хайлтын оронд анхны ажлыг давтаарай, учир нь хэрэглэгчид чухал зүйл бол ажил өөрөө юм. Нэг удаа дахин холбогдоорой, дахин шалгалт хэрэглэгч үнэхээр байх төлөвийг хамарна. Microsoft-ын nslookup лавлагаа нь асуултын аргументуудад зориулж хадгалах зүйлтэй хуудас юм.

Хэрэв нэрнүүд зөвхөн салсны дараа бүтэлгүйтвэл, клиент өмнөх тохиргоог сэргээгээгүй, энэ нь DNS серверийг солихын оронд мэдээлэх ёстой амьдралын мөчлөгийн алдаа юм. Ажиллаж буй хайлт нь мөн алдагдлын тест биш, учир нь гарах улс аль шийдэгч хариулсныг хэлэхгүй.