Id-DNS fuq il-VPN jaħdem, iżda l-ismijiet .local għadhom ifallu: min isolvihom?

Żewġ magni fuq l-istess VPN, l-istess isem tal-host, u waħda biss minnhom issolvih: id-differenza normalment mhix il-mina iżda liema resolver wieġeb. Fuq desktop Linux dak l-isem jista’ jgħaddi mis-switch tas-servizzi tal-ismijiet, mill-istub ta’ systemd-resolved, jew minn resolver li l-applikazzjoni ġabet magħha, u kull wieħed minnhom japplika r-regola tiegħu stess għall-istess suffiss. Is-suffiss huwa fejn ir-regoli jiddiverġu, għax .local mhuwiex tikketta newtrali. Skopri liema mogħdija l-programm li qed ifalli fil-fatt jieħu qabel ma tibdel l-ordni li fiha jiġri xi ħaġa.

Żewġ resolvers, żewġ tweġibiet differenti

Tfittxija tradizzjonali tal-glibc tgħaddi mil-linja hosts: f’nsswitch.conf u tistaqsi lil kull modulu wara xulxin sakemm wieħed iwieġeb. Klijent li jitkellem ma’ systemd-resolved permezz tas-semmiegħ tal-istub jistaqsi minflok lil proċess wieħed, u dak il-proċess japplika politika għal kull konnessjoni flimkien mal-każijiet speċjali tiegħu stess. Applikazzjoni li ġġib ir-resolver tagħha, jew li torbot librerija li tagħmel dan, tista’ taqbeż iż-żewġ. Għalhekk isem wieħed tal-host jista’ jkollu tliet sidien fuq magna waħda, u wieħed biss minnhom jaf x’kienet qed tfisser il-VPN.

Identifika s-sid qabel ma tibdel xi ħaġa, għax il-korrezzjoni hija differenti għal kull wieħed mit-tlieta. Browser u għodda tal-linja tal-kmand fuq l-istess desktop jistgħu legalment ma jaqblux, u dak in-nuqqas ta’ qbil huwa l-ħjiel, mhux il-bug. Jekk il-browser isolvi l-isem u l-għodda ma tagħmilx dan, qed tiddibaggja mogħdija tar-resolver u mhux rotta tal-VPN. Ikkonferma r-rotta b’mod separat, sabiex ħsara fl-irouting ma tiġix konfuża ma’ ħsara fis-servizz tal-ismijiet. Meta t-tnejn jaqblu, il-ħsara tinsab ’il fuq mill-host u l-konfigurazzjoni tar-resolver hawn mhix tiswa editieħ oħra.

Liema kmand fil-fatt staqsa lir-resolver tiegħek

Żewġ kmandi biss-qari jwieġbu mistoqsijiet relatati, u l-paragun tagħhom jillokalizza l-problema aktar malajr milli taqra l-konfigurazzjoni. Uża isem intern reali u żomm l-output privat, għax ir-rekords interni jibqgħu interni. Mexxi t-tnejn fl-istess sessjoni li fiha jaħdem il-programm li qed ifalli:

getent ahosts files.corp.local
resolvectl query files.corp.local
resolvectl status

L-ewwel jistaqsi permezz tal-moduli konfigurati, li huwa dak li jesperjenza programm tipiku. It-tieni jistaqsi direttament lil systemd-resolved u jirrapporta l-konnessjoni, il-protokoll u s-server li wieġeb. Li tistaqsi lis-server korporattiv bl-indirizz jipprova biss li s-server għandu r-rekord, għax ma jgħid xejn dwar jekk l-applikazzjoni qatt staqsietu. Aqra l-konnessjoni li ġġorr il-VPN u d-dominji li tiddikjara, imbagħad qabbel dik il-lista mas-suffiss fl-isem li qed ifalli.

Għaliex .local taqbeż iż-żona unicast tiegħek

ir-referenza ta’ systemd-resolved tiddikjara li l-ismijiet b’ħafna tikketta li jispiċċaw b’.local normalment imorru għal DNS multicast meta mDNS ikun attivat, minflok għal DNS unicast ordinarju. RFC 6762 jwarrab dak l-ispazju tal-ismijiet għal multicast link-local, għalhekk żona korporattiva tista’ żżomm rekord korrett li qatt ma jiġi mistoqsi għal dak is-suffiss. Il-mina tista’ tirrotta r-resolver b’mod perfett u xorta titlef it-tellieqa. Ping li jirnexxi mill-cache ma jgħid xejn dwar it-tfittxija li għadha kemm saret.

Hemm eċċezzjoni dokumentata, u din issolvi ħafna minn dawn il-każijiet: meta konnessjoni tiddikjara dak is-suffiss bħala dominju tat-tfittxija jew dominju tal-irouting, id-daemon iżommha fuq il-mogħdija unicast u jaqbeż il-każ speċjali tal-multicast. Din hija politika għal kull konnessjoni u mhux preferenza globali. Żewġ magni bl-istess server VPN jistgħu jġibu ruħhom b’mod differenti meta profil tan-netwerk wieħed jiddikjara d-dominju u l-ieħor le, għalhekk aqra l-profil attiv u mhux dak li tiftakar li editjajt.

L-eċċezzjoni dejqa tegħleb ordinament globali

Għaż-żona eżistenti li ma tistax tibdilha isimha, ġiegħel lis-sidien tar-resolver u tal-VPN jiddikjaraw id-dominju fuq il-konnessjoni li ġġorrha. Entrata ta’ dominju tal-irouting għal dak is-suffiss wieħed flimkien mal-indirizz tas-server maħsub hija bidla żgħira b’sid imsemmi, u tgħix mal-konnessjoni u mhux f’fajl editjat bl-idejn.

Tissopravvivi wkoll skonnessjoni, għax il-politika tal-konnessjoni terġa’ tiġi applikata meta l-konnessjoni terġa’ lura. L-editjar tal-nsswitch.conf maqsum huwa l-alternattiva li tħajjar u l-aktar għalja, għax ibiddel l-imġiba tat-tfittxija għal kull isem fuq il-magna, inkluż is-sejbien lokali. Li tiddiżattiva d-daemon tal-multicast mhuwiex ekwivalenti wkoll: ineħħi l-imġiba lokali mingħajr ma jgħallem lil ebda resolver dwar iż-żona korporattiva. Jekk is-servizz huwa ġdid u mhux wirt, poġġih taħt sottodominju li l-organizzazzjoni tiegħek tikkontrolla u aqbeż il-kompetizzjoni għal kollox. Agħżel l-eċċezzjoni dejqa meta l-isem ikun fiss fil-firmware jew stampat fuq tikketta, u agħżel sottodominju ġdid meta għadek tikkontrolla l-klijent.

X’għandu jiġi ppruvat wara l-bidla

Ipprova l-korrezzjoni bit-tfittxija tal-applikazzjoni stess u mhux b’għodda li installajt għat-test, u ċċara kull cache li jista’ jwieġeb minflokha. Imbagħad ikkonferma l-mogħdija tar-resolver u l-konnessjoni li tat it-tweġiba. Fl-aħħar iċċekkja li s-sejbien lokali għadu jġib ruħu bħal qabel il-bidla, għax il-printer li jieqaf jidher huwa l-parti li n-nies jinnotaw l-aħħar. Dawn it-tliet kmandi jiċċekkjaw l-isem, il-mogħdija u l-identità TLS f’dan l-ordni:

getent ahosts files.corp.local
resolvectl query files.corp.local
curl -sv --max-time 5 https://files.corp.local/ 2>&1 | head -n 20

Indirizz korrett b’ċertifikat żbaljat xorta jġiegħel klijent strett ifalli, għalhekk iċċekkja l-isem li l-applikazzjoni tistenna ladarba s-soluzzjoni taħdem. Ikkonferma li s-servizz jaċċetta konnessjonijiet mill-indirizz tal-VPN u mhux biss mill-firxa tal-uffiċċju. Ikteb l-ambitu tad-dominju, is-server u s-sid fid-dokumentazzjoni tal-konnessjoni. Inkella l-persuna li jmiss li tiltaqa’ ma’ din il-ħsara se tagħmel l-istess editjar globali li għadek kemm evitajt.