Għaliex id-daħla tiegħek f’/etc/hosts ma tasalx għad-DNS tal-VPN

Żidt isem f’/etc/hosts, qabbadt il-VPN u kont qed tistenna li r-rekord jidher għal kulħadd. Dan ma jiġrix, u s-sorpriża normalment tiġi bi tieni sintomu: l-isem jiġi solvut fuq il-magna tiegħek u jonqos fuq dik ta’ kollega, li tidher qisha servizz DNS tal-VPN miksur u fil-fatt il-fajl hosts qed jagħmel eżattament dak li nħoloq għalih. Fajl hosts huwa konfigurazzjoni lokali tas-soluzzjoni tal-ismijiet, mhux aġġornament taż-żona, u xejn fi konnessjoni normali tal-VPN ma jtella’ dan.

Hosts huwa sostituzzjoni lokali, mhux aġġornament taż-żona

Il-fajl huwa lista ta’ mappings li l-libreriji tas-servizz tal-ismijiet jikkonsultaw qabel, jew minflok, jistaqsu lil server DNS. Linja bħal 10.40.0.20 build.corp.example tbiddel dak li jikkonkludu l-applikazzjonijiet fuq dik il-magna waħda. Ma toħloqx rekord, ma tivvjaġġax mit-tunnel, u s-server DNS li lejh jindika t-tunnel m’għandux idea li teżisti.

Għalhekk il-falliment huwa asimmetriku. Il-klijent tiegħek jieħu tweġiba mill-fajl. Klijent ieħor jistaqsi lis-server DNS tal-VPN, li ma jirritornax xejn, u l-applikazzjoni tirrapporta li l-isem ma jeżistix. Iż-żewġ magni qed iġibu ruħhom b’mod korrett; waħda biss għandha sostituzzjoni li oħra qatt ma rat.

Żewġ kmandi, żewġ komponenti differenti

L-iktar mod mgħaġġel biex twaqqaf id-dibattitu huwa li tagħmel id-differenza viżibbli f’żewġ kmandi, it-tnejn imħaddma fuq il-klijent li għandu d-daħla hosts:

getent ahosts build.corp.example
dig @10.40.0.53 build.corp.example A

L-ewwel jistaqsi l-mogħdija tat-tfittxija tas-sistema stess, li fuq sistema glibc tipika taqra fajls lokali qabel DNS. It-tieni jibgħat mistoqsija DNS direttament lis-server f’dak l-indirizz u ma jikkonsultax fajls lokali xejn. Meta l-ewwel jirritorna d-daħla tiegħek u t-tieni jirritorna NXDOMAIN, tkun ippruvajt li r-rekord ma jeżistix fid-DNS u li l-magna tiegħek qed twieġeb minn sostituzzjoni lokali.

L-ordni hija konfigurabbli, u ta’ min jiċċekkjaha qabel ma tikkonkludi xejn dwar distribuzzjoni partikolari. Ħares lejn il-linja hosts: f’/etc/nsswitch.conf; hosts: files dns jikkonsulta l-fajls l-ewwel. Tikkupjax dak l-eżempju fuq konfigurazzjoni li taħdem biss biex tbiddel l-ordni, għax sistemi reali spiss jelenkaw sorsi addizzjonali u daħliet tas-servizz kondizzjonali li l-eżempju ma jġibx.

systemd-resolved icajpar it-test

Fuq sistema li tuża systemd-resolved, l-stub lokali jservi wkoll ismijiet mill-bażi tad-data hosts. Għalhekk mistoqsija lil 127.0.0.53 mhijiex test indipendenti tas-server remot, għalkemm tidher qisha mistoqsija DNS u ġġib ruħha hekk. Tista’ tikkonferma x’jaf ir-resolver u liema servers jistaqsi bi:

resolvectl query build.corp.example
resolvectl status

L-output tal-status isemmi s-servers DNS għal kull konnessjoni, u hekk issir taf jekk il-konnessjoni tal-VPN irċevietx resolver xejn. Dik il-mistoqsija hija separata mid-daħla hosts u hija dik li ta’ min jistaqsi meta isem privat jonqos għal kull utent u mhux għal wieħed.

L-applikazzjonijiet jistgħu jżidu saff ieħor. Browser bis-setting DNS-over-HTTPS tiegħu, container bil-konfigurazzjoni tar-resolver tiegħu, jew runtime li jaħżen it-tfittxijiet fil-cache għall-ħajja kollha tal-proċess jistgħu kull wieħed iwieġeb b’mod differenti mis-sistema. Ittestja l-applikazzjoni li tinteressak minflok ma tassumi li kmand wieħed jiddeskrivi kull programm fuq il-magna.

X’jaqsam isem madwar il-VPN tassew

Jekk isem privat irid jaħdem għal kulħadd, jeħtieġ sid li r-resolver ta’ kulħadd jista’ jilħaq. It-tweġiba nadifa hija li tippubblika r-rekord f’żona amministrata u tagħmel dik iż-żona solvibbli permezz tal-mogħdija DNS maħsuba tal-VPN. Imbagħad ir-rekord ikollu sors wieħed ta’ verità, traċċa tal-awditjar u ċiklu tal-ħajja, u ħadd ma jrid jiftakar liema laptop iġorr sostituzzjoni lokali.

Li tqassam fajls hosts hija alternattiva leġittima, u hija ġestjoni tal-punti finali u mhux servizz tal-ismijiet. Jekk tagħżilha, il-fajl irid jiġi implimentat, iversjonat u mneħħi minn dak li jamministra l-flotta, u għandu jiġi deskritt hekk fid-disinn. “Il-VPN jieħu ħsiebu” mhuwiex deskrizzjoni ta’ dak il-proċess.

Ir-reġistrazzjoni DNS dinamika hija t-tielet mekkaniżmu, bil-permessi tagħha, l-awtentikazzjoni tal-aġġornamenti u l-ħajja tar-rekord. Ma tirriżultax minn daħla hosts, u lanqas ma tirriżulta minn klijent li sempliċement jgħaqqad, sakemm is-server u l-klijent it-tnejn ma jkunux ikkonfigurati biex jagħmlu dan. Rekord li jidher waħdu huwa sinjal li xi ħadd ippermetta aġġornamenti siguri u klijent li jirreġistra ruħu, u dik il-konfigurazzjoni tappartjeni għar-rekord tad-disinn u mhux għal ħajta tal-ħsol tal-problemi. Jekk ħadd ma jista’ jsemmi min għandu dak is-setting, ittratta r-rekord awtomatiku bħala mhux verifikat u żomm iż-żona amministrata bħala s-sors tal-verità.

Isem solvut mhuwiex rotta

Is-soluzzjoni tal-ismijiet u l-aċċessibbiltà huma separati, u mapping lokali skadut huwa l-mod klassiku biex tħawwadhom. Daħla hosts li tindika lejn indirizz li ċċaqlaq se tibqa’ tagħżel il-host skadut ħafna wara li d-DNS ikun ġie kkorrett, u s-sintomu jidher bħal falliment tar-routing fuq isem li jiġi solvut tajjeb.

Allura meta r-rapport ikun “l-isem jiġi solvut imma s-servizz mhux aċċessibbli”, qabbel it-tfittxija tas-sistema ma’ mistoqsija espliċita lis-server DNS tal-VPN, imbagħad iċċekkja l-indirizz li ħadt kontra dak li s-servizz fil-fatt juża. Ir-referenza ta’ systemd-resolved tiddokumenta s-sorsi lokali li jikkonsulta, u dik hija l-mappa li għandek bżonn għal dik il-paragun.

Imbagħad sewwi s-sostituzzjoni permezz tas-sid tagħha. Li tneħħi linja mill-fajl hosts tiegħek stess ma tagħmel xejn għat-tnax-il laptop li rċevew l-istess linja minn skript tal-implimentazzjoni, u dik hija l-verżjoni ta’ din il-problema li n-nies fil-fatt għandhom.