mDNS di dalam VPN: mengapa nama .local tidak diselesaikan

Pencetak pejabat anda muncul dalam setiap aplikasi di meja anda dan hilang pada VPN, walaupun anda boleh ping alamat yang anda tahu dimilikinya. Tiada apa yang rosak dalam terowong: penemuan dan kebolehcapaian ialah perkhidmatan berasingan, dan hanya satu daripadanya melintasi terowong berhalakan secara lalai. Semakan di bawah memisahkan kedua-duanya sebelum anda mula menambah laluan. Laluan tidak boleh membaiki pertanyaan yang tidak pernah meninggalkan pautan.

Semak apa yang diselesaikan hari ini, dan apa yang hanya kelihatan diselesaikan

Asingkan dua soalan dahulu: pertanyaan unicast untuk nama hos bertanya kepada penyelesai, manakala carian _ipp._tcp bertanya kepada pautan setempat. Pada Linux, avahi-browse -a menunjukkan apa yang boleh dilihat oleh DNS multicast, dan resolvectl query name.local menunjukkan apa yang dilakukan oleh tindanan penyelesai dengan nama itu. Pada macOS, dns-sd -B _ipp._tcp menyenaraikan perkhidmatan yang ditemui tanpa perlu alamat terlebih dahulu.

Jika alamat menjawab dan nama tidak, penghalaan berfungsi dan penemuan tidak. Nama .local juga boleh dijawab pada hos itu sendiri melalui nss-mdns tanpa avahi-browse dipasang, jadi getent atau ping yang berjaya ke nama itu bukan bukti bahawa penemuan melintasi terowong; hasil carian dan hasil penyelesai ialah bukti yang berbeza. Aplikasi menyimpan dalam cache apa yang ditemui, sebab itulah kegagalan sering muncul berjam-jam selepas bersambung, bukan semasa bersambung. Tutup dan buka semula aplikasi, kemudian semak sama ada entri cache mengandungi nama atau alamat, kerana alamat terus berfungsi lama selepas penemuan berhenti.

Mengapa pertanyaan tidak pernah melintasi terowong

DNS multicast menghantar pertanyaan ke 224.0.0.251, di dalam blok kawalan rangkaian setempat, pada port UDP 5353. Penghala tidak memajukan alamat daripada blok itu, jadi pertanyaan kekal pada pautan yang dihantar. Penghantar juga menetapkan TTL IP, atau had hop IPv6, kepada 255 supaya penerima boleh menolak paket yang sudah melintasi penghala; begitulah protokol mengesan pemalsuan di luar pautan, bukan begitulah ia kekal setempat. Setempatan datang daripada alamat destinasi, bukan daripada TTL satu hop.

Jenis terowong juga penting. Antara muka gaya tun hanya membawa paket IP dan tiada yang lain, jadi tiada kumpulan multicast yang bertahan melaluinya. Jambatan gaya tap meluaskan domain siaran itu sendiri, sebab itulah beberapa reka bentuk lama menjambatani dan bukannya menghalakan, dan mewarisi setiap masalah yang dibawa oleh jambatan.

Pengecualian LAN dipercayai tidak mengubah apa-apa daripada ini, kerana ia menentukan trafik mana yang boleh menggunakan terowong dan bukannya mengajar terowong memajukan multicast. Paket itu masih tiada segmen dikongsi untuk didengari.

Pilih reka bentuk penamaan yang mampu anda sokong

Untuk sumber syarikat, jawapan yang tahan lama ialah nama hos berhalakan yang dilayan oleh penyelesai yang ditolak oleh VPN, dengan DNS terbelah supaya nama dalaman pergi ke pelayan dalaman dan yang lain tidak. Windows mendedahkannya sebagai jadual dasar penyelesaian nama, macOS menggunakan penyelesai berskop setiap antara muka, dan kebanyakan klien mempunyai tetapan tolak yang setara. Peranti mengekalkan nama biasanya dalam DNS dalaman, dan penemuan berhenti menjadi sebahagian daripada laluan.

Proksi penemuan atau pemantul mDNS boleh menjambatani jurang itu, dan ia adalah reka bentuk sebenar dengan hos, pendedahan dan keperluan kliennya sendiri. Ia tidak muncul kerana anda menambah laluan. Jangan sekali-kali memajukan pertanyaan .local kepada penyelesai awam: domain itu dikhaskan untuk penggunaan multicast setempat oleh RFC 6762, dan menghantarnya ke luar menghasilkan kegagalan perlahan dan pendedahan data yang tidak perlu.

Sahkan perkhidmatan, bukan nama

Nama dalam senarai carian membuktikan langkah penemuan, bukan bahawa perkhidmatan menjawab. Buka baris gilir cetak atau antara muka web dan selesaikan operasi sebenar, kemudian ulangi selepas bersambung semula.

Penemuan menyimpan nama dalam cache secara agresif, jadi entri basi boleh kelihatan seperti kejayaan. Jika sijil atau gesaan pengesahan muncul, itu lapisan seterusnya dan masalah berasingan. Catat mekanisme mana yang anda ubah, penyelesai atau penemuan, supaya orang seterusnya tidak perlu membuka semula keseluruhan soalan.