DNS maqsum u VPN: ir-regoli tad-dominju mhumiex rotot IP
DNS maqsum jagħżel solvatur skont l-isem, u t-tweġiba xorta teħtieġ rotta. Ittestja r-regola tad-dominju u l-passaġġ separatament, fuq il-pjattaforma li tassew tuża.
Il-laptop tiegħek issolvi intranet.corp mit-tunell waqt li gitlab.com jibqa’ sejjer għand is-solvatur tal-fornitur, u dan huwa l-arranġament li jaħdem kif iddisinjat. Żewġ deċiżjonijiet separati ħolquh: regola tat-tqabbil tal-isem għażlet is-solvatur, u rotta ġabet it-tweġiba lura. Kisser waħda minnhom u l-browser juri falliment li minn barra jidher l-istess. Il-biċċa l-kbira tar-rapporti dwar DNS maqsum jiddeskrivu t-tieni falliment filwaqt li jikkwotaw provi dwar l-ewwel wieħed.
Iż-żewġ nofsijiet jgħixu f’postijiet differenti u normalment jiġu editjati minn nies differenti. Wieħed huwa politika DNS imwaħħla mal-profil VPN, l-ieħor huwa rotta li t-tunell iżżid jew iżżomm lura. Id-debugging jieqaf meta ħadd ma jistabbilixxi liema nofs effettivament tħarreġ.
Żewġ deċiżjonijiet moħbija f’talba waħda
In-nofs tal-isem huwa oġġett ta’ politika, mhux rotta. Fuq Windows hija politika tas-soluzzjoni tal-ismijiet fuq il-profil VPN; fuq pjattaformi Apple sett ta’ dominji li jaqblu fuq oġġett tas-settings DNS; fuq Linux dominju tar-routing, linja tas-solvatur maqsum jew l-ordni tas-swiċċ tas-servizz tal-ismijiet. In-nofs tal-passaġġ huwa routing ordinarju, installat mit-tunell jew bl-idejn, u m’għandux idea x’inhu isem ta’ host. Profil li jammetti suffiss jiddeċiedi biss min iwieġeb; qatt ma jagħmel it-tweġiba aċċessibbli.
Test rapidu tas-sintomi jifridhom: ibdel l-isem b’indirizz. Jekk l-indirizz jaħdem, il-passaġġ tajjeb u r-regola ħażina. Jekk l-indirizz jonqos ukoll, ir-regola tista’ tkun tajba u l-passaġġ nieqes.
Kif kull pjattaforma tesprimi l-istess regola tal-isem
L-intenzjoni hija identika u l-ismijiet tal-oqsma mhumiex. Eżempju kkupjat minn klijent għall-ieħor jiġi pparsjat b’mod nadif u qatt ma jaqbel. It-tliet forom jidhru hekk:
| Platform | Where the rule lives | What usually breaks |
|---|---|---|
| Windows | name-resolution policy on the VPN profile | precedence against the interface suffix list |
| Apple platforms | match domains on the DNS settings object | domains attached to the wrong extension |
| Linux | routing domain, split resolver, nsswitch order | the suffix written the wrong way round |
Dominju tat-tqabbil jew tar-routing huwa test tas-suffiss, allura intranet.corp ikopri git.intranet.corp u ma jkoprix corp.intranet, u li treġġgħu lura huwa l-iżball l-aktar komuni fis-setup kollu. Windows iġorr il-mapping bħala politika tas-soluzzjoni tal-ismijiet imwaħħla mal-profil, bl-ordni ta’ prijorità tagħha stess kontra kwalunkwe lista ta’ suffissi li l-interface diġà kellha. Il-pjattaformi Apple iwaħħlu d-dominji li jaqblu mal-oġġett tas-settings DNS tal-estensjoni tan-netwerk, u s-sistema tapplikahom għal kull solvatur bl-iskop. Ħadd minn dawn il-forom mhuwa rotta, u ħadd ma jista’ jagħmel indirizz mhux aċċessibbli aċċessibbli. Ir-referenza politika tas-soluzzjoni tal-ismijiet ta’ Windows telenka l-ismijiet tal-oqsma u r-regoli ta’ prijorità għal dik il-pjattaforma, u mhumiex dawk li jużaw id-dokumenti Apple jew systemd.
Tweġiba korretta xorta teħtieġ passaġġ
It-tweġiba ta’ solvatur hija biss indirizz, u l-applikazzjoni xorta trid tasal għalih. Disinn ta’ tunell maqsum spiss jimbotta 10.20.0.0/16 u jżomm lura r-rotta default, allura l-isem intern jiġi solvut u l-konnessjoni mbagħad tiddendel. Il-każ oppost huwa daqstant komuni: ir-rotta teżisti, solvatur pubbliku jwieġeb l-isem privat b’NXDOMAIN, u l-falliment jiġi rreġistrat bħala problema tar-routing. Li tittestja l-passaġġ l-ewwel iħallik tħares lejn rotot għal isem li qatt ma kien se jiġi solvut.
Hemm ukoll tielet portal li la nofs ikopri. ACL fuq il-gateway, regola tal-firewall jew politika mill-ġenb tal-klijent jistgħu jwarrbu l-konnessjoni wara li ż-żewġ deċiżjonijiet kienu tajba. Meta l-isem jiġi solvut, ir-rotta teżisti u l-konnessjoni xorta tispiċċa fiż-żmien, waqqaf it-test tad-DNS.
Nittestja l-ismijiet u l-passaġġi f’ordni fissa
Agħżel ordni u żommha, inkella tkun qed tiġri wara l-pass li falla l-aħħar. Issolvi l-isem intern sħiħ dokumentat, ikkonferma li t-tweġiba hija indirizz li t-tabella tar-rotot tista’ ġġorr, imbagħad irrepeti b’isem pubbliku biex tipprova li t-tunell ma qabadx kollox. Fuq host systemd il-mistoqsija u d-dominju tar-routing tas-solvatur huma distanza ta’ kmand wieħed:
resolvectl query intranet.corp
resolvectl domain
ip route get 10.20.5.10Klijent Windows jagħmel l-istess żewġ mistoqsijiet b’cmdlets differenti. It-tieni jirrapporta l-interface li s-sistema fil-fatt tuża:
Resolve-DnsName intranet.corp -Type A
Find-NetRoute -RemoteIPAddress 10.20.5.10Jekk it-tfittxija tirritorna indirizz u l-kontroll tal-passaġġ isemmi l-interface fiżika, ir-regola tal-isem ħadmet u r-rotta le. Jekk l-isem qasir jonqos waqt li l-isem sħiħ jiġi solvut, il-lista tas-suffissi hija ħażina u mhux is-solvatur.
Fejn il-paragun normalment imur ħażin
L-ewwel żball huwa li tistaqsi solvatur pubbliku mhux relatat dwar isem privat u taqra ċ-ċaħda bħala prova dwar il-VPN. It-tieni huwa li tassumi li tfittxija pubblika li taħdem turi l-passaġġ tas-solvatur tat-tunell. It-tielet huwa li tittratta t-tunell maqsum u d-DNS maqsum bħala deċiżjoni waħda tad-disinn, meta l-varar jista’ jkun korrett f’wieħed u miksur fl-ieħor. Kull żball jipproduċi konklużjonijiet kunfidenti minn test li qatt ma eżerċita l-parti li tintrema.
Browser bid-DNS sikur tiegħu jista’ wkoll jaqbeż ir-regola tas-sistema, għalhekk li browser jonqos waqt li ieħor jirnexxi mhuwiex kontradizzjoni. Qabbel is-solvatur li wieġeb, mhux il-browser li lmenta.
Ladarba ż-żewġ nofsijiet jidhru, il-mistoqsija li tibqa’ hija waħda ta’ politika u mhux teknika: liema spazji tal-ismijiet jappartjenu lill-organizzazzjoni, min jippossjedi kull tweġiba, u liema minnhom għandhom iħallu l-magna. Ikteb dan ħdejn il-profil, għax il-persuna li jmiss li tmiss ir-regola se tkun teħtieġu.