Id-DNS tal-VPN jieħu kull tfittxija: sewwi dns-priority f’NetworkManager

Konnessjoni VPN b’mod awtomatiku għandha prijorità 0 u tippretendi kull dominju. Issettja prijorità negattiva għall-ordni, imbagħad uża dominji tar-routing biex tirritorna l-bqija.

Qabbad il-VPN tal-uffiċċju u f’daqqa waħda kull tfittxija ta’ isem tmur għand ir-resolver korporattiv. L-ismijiet pubbliċi għadhom jiġu solvuti, għalhekk xejn ma jidher miksur sakemm ifalli isem ta’ printer lokali jew rekord split-horizon iġib lura l-indirizz tal-uffiċċju. F’xi installazzjonijiet Fedora jiġri l-maqlub: ir-resolver tal-fornitur ikompli jwieġeb wara li t-tunnel ikun tela’. It-tnejn huma mistoqsija waħda — liema resolver jippossjedi din it-tfittxija — u fuq sistemi NetworkManager it-tweġiba tgħix fil-proprjetajiet DNS ta’ kull konnessjoni.

Żewġ konnessjonijiet, resolver wieħed rebbieħ

Kull konnessjoni tiddikjara prijorità DNS. Il-konnessjonijiet ordinarji b’mod awtomatiku huma 50 u dawk VPN huma 0, u jirbaħ l-inqas valur. Dan id-default huwa r-raġuni għalxiex konnessjoni VPN taqbeż bil-kwiet il-link bil-wajer għal kull dominju li tippretendi: iż-żero jegħleb il-ħamsin mingħajr ma ħadd għażlu.

Il-prijorità tordna l-kandidati. Ma tillimitax dwar xiex jintalab ir-rebbieħ. Konnessjoni VPN mingħajr dominju tat-tfittxija tippretendi kollox, għalhekk il-preferenza tagħha tibgħat ukoll it-tfittxijiet pubbliċi fit-tunnel u, fi disinn ta’ tunnel maqsum, fejn ir-resolver korporattiv jgħaddi ’l quddiem.

Il-prijorità tiddeċiedi l-ordni, il-lista tat-tfittxija tiddeċiedi l-pussess

nmcli -f connection.id,ipv4.dns,ipv4.dns-search,ipv4.dns-priority con show "Corp VPN"
resolvectl status
readlink -f /etc/resolv.conf

Il-lista tat-tfittxija hija d-dikjarazzjoni tal-pussess. Dominju għarwien bħal corp.example isir suffiss tat-tfittxija u dominju tar-routing. Il-forma tat-routing biss ~corp.example tibgħat it-tfittxijiet taħt dak is-suffiss lil din il-konnessjoni mingħajr ma żżid id-dominju mal-ismijiet qosra. Dik it-tilde hija d-differenza bejn «staqsi lil dan is-server» u «staqsi lil dan is-server u temm l-ittipjar tiegħi».

Uża ż-żewġ forom meta l-utenti jittajpjaw ismijiet qosra tal-host u r-rekords jiġu indirizzati wkoll b’ismijiet kwalifikati għal kollox. Uża l-forma tat-routing biss meta trid il-qasma mingħajr ma tbiddel kif ir-resolver jikkompleta isem għarwien.

Imbagħad agħmel il-preferenza espliċita u erġa’ attivaha:

nmcli con modify "Corp VPN" ipv4.dns-priority -100
nmcli con modify "Corp VPN" ipv6.dns-priority -100
nmcli con modify "Corp VPN" ipv4.dns-search "~corp.example,corp.example"
nmcli con up "Corp VPN"

Prijorità negattiva hija l-mod dokumentat biex tgħid «ippreferi din il-konnessjoni», u l-issettjar taż-żewġ familji tal-indirizzi jżomm l-imġiba konsistenti fuq host b’konnettività IPv6. Li tbiddel il-proprjetà mingħajr ma terġa’ tattiva l-konnessjoni ma tbiddel xejn minn dak li qed jaħdem bħalissa, għalhekk is-sekwenza tintemm b’up espliċitu.

Ħalli lil systemd-resolved iżżomm il-qasma

Il-plugin dnsmasq awtomatiku jgħaddi t-tfittxijiet f’resolver lokali wieħed, għalhekk is-separazzjoni skont il-link tibqa’ goffa. systemd-resolved turi l-qasma skont il-link, u resolvectl query issemmi l-link li wieġeb.

systemctl enable --now systemd-resolved
ln -sf /run/systemd/resolve/stub-resolv.conf /etc/resolv.conf
systemctl restart systemd-resolved NetworkManager
resolvectl query build.corp.example

Wara dan il-link korporattiv iġorr corp.example u resolver pubbliku jservi l-bqija. Meta tfittxija tasal fil-link ħażin, il-kmand issemmi l-link li wieġeb għaliha, u li tkun taf dan aħjar milli tkun taf biss l-indirizz.

Qabbel id-disinn tad-DNS mat-tip ta’ tunnel

Disinni tal-privatezza li jibagħtu kollox mit-tunnel m’għandhomx iġorru lista tal-qasma, għax dan jerġa’ jgħaddi l-ismijiet pubbliċi lir-resolver lokali u jħassar il-ħsieb. Disinni ta’ tunnel maqsum għandhom bżonnu: mingħajru r-resolver korporattiv jara kull tfittxija pubblika, u l-konfigurazzjoni tinkiser fil-mument li t-tunnel jaqa’.

Imbagħad hemm il-kill switch li jimblokka d-DNS barra t-tunnel. L-ismijiet jiġu solvuti għaż-żoni tat-tunnel u jonqsu kullimkien ieħor waqt li l-konnessjoni tkun perfettament sana. It-tweġibiet prattiċi huma permess espliċitu għar-resolver tal-LAN jew cache lokali li jgħaddi biss iż-żona korporattiva, u t-tnejn huma eċċezzjoni b’sid, mhux difett fit-tunnel.

Profil li jerġa’ jikteb il-konfigurazzjoni tar-resolver mal-bidu tal-interface iġib ruħu kważi l-istess: ladarba r-resolver lokali ma jkunx jista’ jintlaħaq, jiġu solvuti biss l-ismijiet li t-tunnel jaf. Liema mekkaniżmu japplika, ikteb liema ismijiet għandhom jaħdmu f’kull stat, u agħti dik il-lista lil min jimmaniġġja r-rapporti.

Ivverifika skont il-link, u mbagħad għal darba oħra wara li terġa’ tqabbad

Staqsi isem intern wieħed u isem pubbliku wieħed, u ara fejn tassew tmur it-tfittxija. Paġna tal-verifika tan-nixxiegħa tgħidlek liema resolver wieġeb, mhux liema link għażel is-sistema, għalhekk ma tgħid xejn dwar l-ordni li għadek kemm ikkonfigurajt.

Mexxi ż-żewġ mistoqsijiet mill-ġdid wara skonnessjoni u konnessjoni mill-ġdid. Il-prijoritajiet jerġgħu jiġu applikati meta konnessjoni tiġi attivata, u link simboliku qadim jista’ jgħaddi minn aġġornament li ħadd ma jiftakar. Dak li trid tkun miktub fl-aħħar huwa liema resolver jippossjedi liema suffiss, flimkien ma’ verifika li għadha valida għada.

Artikli relatati