Għaliex l-ismijiet DNS privati jonqsu fuq il-klijenti VPN u fejn tivverifika

Tiftaħ laptop f'kamra tal-lukanda, tniedi l-klijent, tittajpja l-isem tas-server tal-fajls intern u ma terġax tikseb xejn. It-tunell juri konness, u ping lejn indirizz fl-istess subnetwork għadu jwieġeb, mela t-trasport innifsu huwa tajjeb. Jonqos biss l-isem, u dak il-vojt iċekken il-problema għal żewġ postijiet: liema resolver staqsa l-klijent u jekk ir-risposta li kiseb tistax terġa' lura mit-tunell. Sewwi waħda u ħalli l-oħra barra, u l-ħsara sempliċement tiċċaqlaq.

Qabel ma teditja kwalunkwe profil, ikkonferma x'jagħmel il-klijent bl-isem. Fuq Linux, resolvectl query files.corp.example juri liema konnessjoni u liema resolver ipproduċew ir-risposta. Fuq Windows, Resolve-DnsName files.corp.example juri s-server li wieġeb u l-indirizz li rritorna.

Aqra r-risposta qabel ma tbiddel xejn

Jekk l-isem jerġa' lura bħala NXDOMAIN fi ftit millisekondi, il-mistoqsija qatt ma waslet għaż-żona tiegħek u xi resolver pubbliku jew tal-lukanda wieġeb minflok. Jekk jerġa' lura wara waqfa twila, xi ħaġa qed tarmi l-port UDP 53 fit-triq u l-klijent fl-aħħar waqa' fuq alternativa. Jekk iwieġeb bl-indirizz it-tajjeb imma l-konnessjoni għadha tistaġna, ir-riżoluzzjoni hija tajba u l-problema tiegħek hija fir-rotot jew fis-servizz innifsu.

Dik it-tqassim fi tlieta jiffranka siegħa ta' tbassir. Tgħidlek ukoll jekk għandekx tmiss il-VPN xejn: isem li jiġi riżolt għall-indirizz privat it-tajjeb diġà wera t-triq tar-resolver, mela x-xogħol li jibqa' jinsab fit-triq tad-dejta.

Qassam ir-resolver minn ġewwa t-tunell

Il-klijenti jaqgħu f'żewġ gruppi. Wieħed jista' jingħata resolver mis-server waqt it-twaqqif tal-konnessjoni; l-ieħor iżomm l-issettjar f'fajl lokali li l-ebda gateway ma jista' jbiddel mill-bogħod.

OpenVPN jinsab fl-ewwel grupp. Fuq is-server, push "dhcp-option DNS 10.8.0.53" u push "dhcp-option DOMAIN corp.example" jinżlu mill-kanal tal-kontroll, imma biss jekk il-konfigurazzjoni tal-klijent għad għandha pull attivat. Klijent editjat bl-idejn li jġorr pull-filter ignore "dhcp-option" qatt ma jarahom, u dik il-linja waħda tispjega għadd sorprendenti ta' każijiet ta' «is-server jimbotta dan imma l-laptop tiegħi ma jaqbilx».

WireGuard jinsab fit-tieni grupp, għax il-protokoll m'għandux negozjar ta' għażliet xejn. Ir-resolver u d-dominju tat-tiftix imorru fil-blokka [Interface] tal-klijent innifsu bħala DNS = 10.8.0.53, corp.example. wg-quick japplika dan permezz ta' resolvconf jew systemd-resolved, u fuq Windows il-klijent uffiċjali jinstalla regoli NRPT li jeżistu biss sakemm it-tunell huwa mqajjem: Get-DnsClientNrptPolicy jelenkahom, li jagħmilha mod mgħaġġel biex tara jekk il-klijent qatt applikax il-fajl tiegħek.

IPsec/IKEv2 jinsab fin-nofs. Il-plugin attr ta' strongSwan jista' jirritorna server DNS meħud minn pool, u klijent Windows normalment jaċċettah, imma profil li jiffissa s-server tal-ismijiet tiegħu jirbaħ fuq kulma joffri l-gateway. Fuq klijent Linux il-pass manwali ekwivalenti huwa resolvectl dns wg0 10.8.0.53 segwit minn resolvectl domain wg0 '~corp.example'; it-tnejn jisparixxu mal-interface, li huwa eżattament dak li trid għal issettjar limitat għat-tunell.

Illimita s-suffiss minflok ma tibla' kull mistoqsija

Li tħares il-lista kollha tar-resolvers tal-klijent lejn is-server intern tiegħek huwa faċli u ġeneralment żbaljat. Imbagħad kull isem pubbliku jiġi riżolt mill-ħruġ tad-data center tiegħek, is-CDN iroddu indirizzi mbiegħda, u waqgħa waħda tar-resolver tieħu magħha l-ibbrawżjar tal-utent.

Ibgħat 'il ġewwa biss is-suffiss privat. Fuq systemd-resolved, dominju li jibda b'~ huwa għar-rotot biss, mela ~corp.example ifisser li mistoqsijiet taħt dak is-suffiss imorru għas-servers ta' dik il-konnessjoni filwaqt li kull ħaġa oħra tibqa' tuża n-netwerk fiżiku. Windows jagħmel l-istess b'regoli NRPT limitati għal spazju tal-ismijiet, u macOS b'fajl tar-resolver supplimentari taħt /etc/resolver/.

L-ismijiet multicast jistħoqqilhom tweġiba tagħhom. L-ismijiet .local huma link-local b'diżinn (RFC 6762) u interface tun punt-punt ma jġorrx dik il-grupp multicast, mela żżid resolver pubbliku ma jippubblikahomx, u jekk tistaqsi resolver intern unicast dwarhom jerġa' lura NXDOMAIN. Riflettur bħal avahi fil-modalità riflettur jista' jgħaqqad żewġ segmenti, imma dik hija deċiżjoni fuq in-naħa tas-server li ebda klijent ma jista' jitlobha. Jekk printer jew NAS irid ikun aċċessibbli bl-isem, agħtih rekord A fiż-żona tiegħek minflok.

Ipprova li r-risposta tista' terġa' lura

Risposta korretta li tħares lejn indirizz mhux aċċessibbli tidher eżattament bħal problema tar-resolver sakemm tivverifika r-rotta. Staqsi lill-kernel fejn tmur ir-risposta: ip route get 10.20.5.20 isemmi l-interface u, iktar utli, l-indirizz tas-sors li juża.

Innota l-indirizz tar-resolver innifsu. Klijent b'DNS = 10.8.0.53 ħdejn AllowedIPs = 10.20.0.0/16 jibgħat il-mistoqsijiet tiegħu barra mill-NIC fiżika, fejn imutu bil-kwiet, għax ir-resolver mhuwiex ġewwa xi prefiss li t-tunell jitlob. Dak in-nuqqas ta' qbil huwa l-aktar kawża waħdanija komuni f'dan il-qasam kollu, u jibqa' inviżibbli sakemm ma tqabbelx l-issettjar tad-DNS mal-prefissi permessi linja b'linja.

Firxiet li jikkoinċidu jikkawżaw il-ħsara opposta. Ir-risposta hija tajba, ir-rotta teżisti, u turi lejn il-host ħażin, għax 192.168.0.0/24 id-dar hija iktar speċifika mir-rotta tat-tunell lejn l-istess firxa. Erġa' nnumerja naħa waħda jew imbotta rotta idjaq, imbagħad ikkonferma l-firewall u t-triq lura tal-host tas-servizz; in-noti ta' strongSwan dwar ir-riindirizzar ikopru n-naħa sysctl ta' dik it-triq.

Iċ-ċertifikati huma verifika tal-identità separata li n-nies jixħtu fuq id-DNS. Jekk il-browser jirrapporta nuqqas ta' qbil fl-isem minflok żball ta' riżoluzzjoni, it-tiftix diġà ħadem u l-SAN fiċ-ċertifikat huwa dak li jeħtieġ tiswija. Ittestja HTTPS kontra l-isem, qatt kontra l-IP għarwien.

Erġa' ttestja mill-klijent, mhux mill-gateway

It-test fl-applikazzjoni li l-utent jilmenta dwarha, għax tiftix mill-linja tal-kmand ma jippruvax li l-browser jieħu l-istess triq. Id-DNS sigur ta' Chrome u network.trr.mode ta' Firefox jistgħu jaqbżu r-resolver tas-sistema għal kollox, u meta jagħmlu hekk, isem privat jew jonqos jew joħroġ lejn resolver pubbliku. Li tqabbel resolvectl query ma' dig @10.8.0.53 files.corp.example imħaddem bl-idejn jgħidlek liema miż-żewġ affarijiet ġara.

Imbagħad aqla' u erġa' għaqqad qabel ma tgħid li sar. L-issettjar li jsir bl-idejn fuq interface jisparixxi mal-interface, u profil li deher tajjeb biss minħabba bidla lokali minsija se jonqos fil-boot li jmiss.

Lista qasira għall-magna li jmiss: l-isem jiġi riżolt permezz tar-resolver tat-tunell, is-suffiss huwa limitat minflok globali, l-indirizz tar-resolver jinsab ġewwa l-prefissi permessi, il-host mir-risposta jwieġeb fuq il-port tas-servizz, u ċ-ċertifikat ikopri l-isem li tittajpja l-utent.