Ismijiet interni jonqsu fuq il-VPN filwaqt li s-siti pubbliċi jiġu riżolti

Utent wieħed jirrapporta li l-isem tal-host tal-intranet ma jiġix riżolt fuq il-VPN. Rapport ieħor, mill-istess laptop, jgħid li test tal-leak għadu juri t-talbiet imwieġba mir-resolver lokali. Jidhru bħala problema waħda iżda huma tnejn, b'evidenza differenti, u t-tiswija tas-soltu tal-ewwel tagħmel it-tieni agħar. Aqsamhom qabel ma tmiss ebda setting.

Żewġ sintomi li mhumiex ħsara waħda

Li tonqos milli tirriżolvi isem intern ifisser li l-mistoqsija marret f'post li m'għandux tweġiba għaliha. Talbiet li joħorġu mill-mina jfissru li l-mistoqsija marret f'post ħażin anki meta t-tweġiba kienet disponibbli. Dawn huma fallimenti opposti: waħda hija tweġiba nieqsa, l-oħra destinazzjoni żejda.

In-nassa hija li żżid ir-resolver tal-uffiċċju kullimkien issewwi l-ewwel u tiggarantixxi t-tieni. Żżid resolver pubbliku kullimkien tagħmel l-oppost.

Ikteb iż-żewġ osservazzjonijiet b'timestamp, imbagħad għaddi mill-erba' verifiki hawn taħt fl-ordni.

Ir-resolver ta' liema adapter jirċievi l-mistoqsija

Fuq Windows, il-klijent DNS jagħżel is-servers skont l-ordni tal-binding tal-adapter, u l-adapter tal-mina mhuwiex awtomatikament l-ewwel. Iftaħ is-settings avvanzati tal-adapter u ċċaqlaq il-konnessjoni tal-aċċess remot 'il fuq mill-adapter fiżiku, imbagħad erġa' għaqqad sabiex il-bidla tapplika għal sessjoni ġdida.

L-ordni tal-binding hija biss l-ewwel nofs. Il-klijent irid ukoll ikun jaf liema ismijiet jappartjenu għal dak l-adapter, u din hija kwistjoni ta' suffiss u mhux ta' ordni.

Qiegħed ipconfig /all tal-magna li taħdem ħdejn dak tal-laptop, it-tnejn meħuda waqt li l-mina hija attiva. Il-magna li taħdem turi suffiss DNS speċifiku għall-konnessjoni fuq l-adapter tal-uffiċċju tagħha, filwaqt li l-laptop jista' ma juri xejn fuq il-mina. Dik id-differenza tispjega klassi sħiħa ta' rapporti dwar server li jinsab hemmhekk u isem li xorta jonqos, għax mingħajr suffiss l-isem qasir qatt ma jiġi kkompletat fiż-żona li sservi r-resolver tal-uffiċċju.

Isem qasir jeħtieġ suffiss qabel ma jeħtieġ rotta

Li tikteb hostname mingħajr kwalifika titlob lir-resolver jaqta' dominju. It-tbassir jiġi mil-lista ta' suffissi mwaħħla mal-konnessjoni, u jekk dik il-lista tkun vojta l-mistoqsija toħroġ bħala tikketta waħda li l-ebda żona privata ma taqbel magħha.

Ikkopja s-suffiss tal-magna li taħdem fil-proprjetajiet IPv4 tal-adapter tal-VPN fit-tab DNS, imbagħad erġa' għaqqad. Fuq Linux l-ekwivalenti huwa d-domain tat-tiftix fuq il-link tal-mina, li systemd-resolved jesponi kull link u mhux globalment.

Żomm iż-żewġ settings separati fin-noti tiegħek. Is-suffiss ibiddel x'inhu mistoqsi, l-indirizz tar-resolver ibiddel min huwa mistoqsi. Li ssewwi wieħed filwaqt li l-ieħor huwa ħażin jipproduċi riżultat li jidher każwali.

Staqsi lir-resolver direttament, imbagħad l-isem

Mistoqsija diretta lir-resolver tal-uffiċċju tissepara problema ta' isem minn problema ta' mogħdija, għax taqbeż għal kollox l-għażla tar-resolver tal-klijent.

nslookup intranet.corp.example 10.20.0.53
nslookup intranet
resolvectl status

L-ewwel kmand jitlob server speċifiku għal isem kompletament kwalifikat. Jekk iwieġeb, ir-resolver u l-mogħdija lejh huma tajba u l-ħsara tinsab fl-għażla jew fis-suffiss. Jekk jaqbeż iż-żmien, l-indirizz huwa ħażin jew mhux aċċessibbli u l-problema hija routing u mhux DNS. It-tieni kmand juri x'jiġri bl-isem qasir, u t-tielet jistampa l-konfigurazzjoni tar-resolver għal kull link fuq host systemd.

Oqgħod attent għal tweġibiet wildcard, li xi netwerks jirritornaw għal ismijiet mhux magħrufa. Tweġiba li tidher plawsibbli mhijiex prova li s-server intenzjonat wieġeb, għalhekk qabbel l-indirizz irritornat ma' dak li tassew juża s-servizz intern. Jekk l-indirizz jappartjeni għal paġna tal-parking jew proxy, ir-resolver wieġeb imma t-tweġiba qatt ma kienet tiegħek. Dik id-distinzjoni tiffranka siegħa fil-kaċċa għal mina li kienet taħdem il-ħin kollu.

Fuq Linux, klijent VPN li jerġa' jikteb /etc/resolv.conf jissostitwixxi r-resolvers lokali għal kollox. vpnc jesponi DNSUpdate no biex iwaqqaf dan, u systemd-resolved jista' jibgħat biss id-dominji elenkati lejn il-link tal-mina. Iż-żewġ approċċi jżommu l-ismijiet pubbliċi fuq ir-resolver lokali filwaqt li jibagħtu l-ismijiet interni lill-uffiċċju.

It-tnixxija hija regola, mhux kaxxa tal-verifika

Ir-riżoluzzjoni tal-ismijiet hija skambju UDP għall-port 53, għalhekk mina li ġġorr traffiku web imma mhux UDP tħalli l-mistoqsija fuq il-mogħdija fiżika. Ipprova dan billi taqbad fuq in-NIC fiżika waqt li isem pubbliku jiġi riżolt. Mistoqsija li tidher fuq dik l-interface f'forma li tinqara tfisser li l-mina mhijiex ġġorrha.

sudo tcpdump -ni eth0 -c 20 'udp port 53'
resolvectl query example.com

Jekk il-mistoqsija tidher fuq dik l-interface f'forma li tinqara, il-mina mhijiex ġġorrha. It-tiswija hija regola li tippermetti l-port 53 biss lir-resolver li bagħat il-VPN u tkeċċi destinazzjonijiet oħra, flimkien ma' konfigurazzjoni tal-klijent li ma tarmix bil-moħbi l-għażla mibgħuta.

Dak l-aħħar parti huwa aktar importanti milli jidher. Ibda OpenVPN b'route-nopull u l-għażla DNS mibgħuta tisparixxi flimkien mal-mogħdijiet, sakemm il-filter tal-pull ma jiġix imwessa' biex iżommha. u klijent li jinjora dhcp-option DNS jibqa' juża dak kollu li kellu qabel. Kwalunkwe bidla fuq in-naħa tas-server teħtieġ sessjoni ġdida biex tieħu effett, għax il-lista tar-resolvers tiġi mgħoddija meta l-mina tqum u sessjoni antika tibqa' turi l-istat il-qadim.

Irreġistra liema falliment osservajt tassew qabel tagħlaq it-ticket. Tweġiba interna nieqsa u mistoqsija li taħrab mill-mina jeħtieġu tiswijiet differenti, u bidla fis-suffiss li ssewwi l-ewwel tista' bil-moħbi tagħmel it-tieni agħar. Min jieħu t-ticket wara se jafda t-tikketta, għalhekk agħmel it-tikketta preċiża.