Korte interne namen falen op de VPN: het achtervoegsel dat je nooit ziet
Een korte naam werkt alleen doordat een zoekachtervoegsel hem aanvult. Vergelijk de volledige en de korte naam om een achtervoegselgat van een resolverstoring te onderscheiden.
De korte naam werkte op kantoor en faalt op de VPN, terwijl de volledige naam zonder problemen wordt opgelost. Niets is kapot. Een kale naam zoals intranet is geen volledige naam; de client voegt een achtervoegsel uit zijn zoeklijst toe en vraagt naar het resultaat. Als het VPN-profiel dat achtervoegsel niet levert, houdt de vertrouwde korte vorm op te bestaan.
Dat is de hele mythe. DNS ging niet kapot, het zoekbeleid veranderde.
Een kale naam is geen naam
Wanneer je één label typt, moet de resolver beslissen wat hij vraagt. Hij probeert de naam zoals gegeven en voegt daarna één voor één items uit de zoeklijst toe tot iets antwoordt. Op Linux beheert resolv.conf die volgorde met de instellingen search en ndots. Op Windows doen de achtervoegsellijst en het naamresolutiebeleid hetzelfde. Verwijder het achtervoegsel en de resolver heeft niets om toe te voegen.
Een werkende korte naam is dus bewijs van een beleid, niet van een gezonde DNS-server.
Wat de achtervoegsellijst en het resolveradres elk doen
Deze twee worden voortdurend verward. Het resolveradres zegt wie je moet vragen; de achtervoegsellijst zegt over welke naam je moet vragen. Een VPN kan je een privéresolver zonder achtervoegsel geven, of een achtervoegsel met de verkeerde resolver. Slechts één van die fouten lijkt op een DNS-storing.
Controleer ze apart, want het verkeerde repareren kost een supportvenster.
| What you see | Likely cause |
|---|---|
| Full name resolves, short name fails | Suffix or search list missing |
| Neither resolves | Resolver unreachable or wrong domain rule |
| Both resolve, resource fails | Route or service permission |
Drie symptomen, drie verschillende eigenaren.
Test eerst de volledige naam
Vraag naar de gedocumenteerde volledig gekwalificeerde naam van de beheerder, niet naar een gok. Een werkende FQDN bewijst dat de resolver bereikbaar is en dat het record bestaat, wat de helft van de mogelijke oorzaken met één query wegneemt. Gebruik een hulpmiddel dat laat zien welke server antwoordde, zodat je geen gecacht resultaat leest.
Houd de test privé. Interne varianten naar een publieke resolver sturen onthult namen en test een beleid dat niemand bedoelde.
Waar de correctie hoort
Corrigeer het eigenaarprofiel of het beheersysteem dat het genereert. Een handmatige wijziging aan de lokale resolverconfiguratie verdwijnt meestal bij opnieuw verbinden, of geldt voor elk netwerk waar de machine bij hoort, wat erger is.
Onderzoek op Windows het effectieve beleid in plaats van het selectievakje dat je je herinnert. Get-DnsClientNrptPolicy toont de naamresolutieregels die daadwerkelijk van kracht zijn.
Op macOS drukt scutil --dns de resolverconfiguratie per afgebakende interface af, inclusief de zoekdomeinen die de VPN heeft doorgeduwd.
Lees op Linux de search-regel in /etc/resolv.conf, maar controleer of een VPN-client die heeft herschreven. Als het bestand wordt beheerd, bewerk dan de bron van waarheid in plaats van het gerenderde bestand. Een verouderde search-regel uit een vorig netwerk is een veelvoorkomende oorzaak.
Wat je bij het profiel bewaart
Bewaar de gecorrigeerde volledige naam, de achtervoegsellijst en het resolveradres naast het clientprofiel. De volgende persoon die meldt dat de intranetsite plat ligt, kan drie bekende waarden vergelijken in plaats van vanaf een blanco pagina te beginnen.
En als alleen de korte vorm faalt, zeg dat dan in het ticket. Die zin bespaart het resolverteam een middag.