Slik les du VPN-DNS-ruting per kopling frå resolvectl
resolvectl status viser tenarar, domene og standardruta per kopling. Les dei saman, spør så på namnet og noter kva kopling som svara.
Køyr resolvectl status, og du får ein vegg av blokker per kopling, kvar med eigne tenarar og eiga domenelinje. Linja som avgjer rutinga, er domenelista, ikkje adressa til namnetenaren, fordi den lokale stubben videresender kvar førespurnad til koplinga som gjer krav på namnet. Les desse krava før du les svaret, spør så på namnet og sjekk kva kopling som laga det. Eit gale svar frå rett kopling er eit anna problem enn eit rett svar frå feil kopling.
Kva kvar blokk per kopling fortel deg
Kvar blokk listar opp tenarane som resolvaren vil bruke for det grensesnittet, domenelista og om koplinga er standardruta. Domenelista er eit sett med krav, og resolvaren nyttar samsvar for lengste suffix: ein førespurnad om host.corp.example vert kravd av ei kopling som har corp.example, før ei som berre har standardruta. To koplingar som gjer krav på same suffix, lèt resultatet til prioritet og rekkjefølgje, difor fortener duplikat merksemd først. Linja for gjeldande tenar viser kven av dei oppførte tenarane som vert brukt i det augneblinken.
Ei stubadresse som 127.0.0.53 i /etc/resolv.conf seier berre at stubben står framanfor. Ho namngir ikkje oppstraumen som svara, difor stoppar ein diagnose som berre byggjer på resolv.conf.
Les dei tre typane domeneoppføringar rett
| Oppføring | Kva ho gjer krav på | Vanleg feil |
|---|---|---|
| corp.example | rutingsdomene og søkesuffix: namn under det går til denne koplinga, og strengen vert lagd til nakne namn | fjerna fordi rutinga ser ut til å verke likevel |
| ~corp.example | berre rute: namn under det går til denne koplinga, men suffixet vert ikkje lagt til | trudd at ho er nødvendig for ruting |
| ~. | standardrute: gjer krav på førespurnader som inga anna kopling dekkjer | late stå aktiv på ein delt profil, slik at offentlege namn følgjer tunnelen |
Tilden endrar søkjeåtferd, ikkje ruting. Ei oppføring utan tilde er både eit rutingsdomene og eit søkjedomene, så namn under det vert sende til den koplinga, og namn med éi etikett får suffixet lagt til. Ei tilde-oppføring ruter same suffix, men held det utanfor søkjelista. Difor endrar det å fjerne ein tilde kva nakne namn som vert løyste, og difor er ein manglande tilde eit søkjeproblem og ikkje ein feil i delt DNS.
Oppføringa for standardruta gjer krav på alt inga anna kopling dekkjer. Ein fulltunnelprofil vil vanlegvis ha ho, og ein delt profil vil vanlegvis ikkje, fordi offentlege namn då reiser til den private resolvaren og kan feile der. Les tabellen mot hensikta til profilen i staden for å kopiere flagg mellom profilar. Når to koplingar gjer krav på same suffix, avgjer prioriteringsspørsmålet før du redigerer noko anna.
Spør på eit namn og sjå kva kopling som svara
Underkommandoen query skriv ut adressa, protokollen og koplinga eller omfanget som laga svaret. Test eitt namn som det private suffixet skal gjere krav på, og eitt vanleg offentleg namn, og samanlikn deretter dei rapporterte kjeldene. Viss det private namnet svarar frå den trådlause koplinga, manglar kravet eller tunnelen er nede; viss eit offentleg namn på ein delt profil svarar frå tunnelen, er standardruta for brei. Desse to feila ser like ut i ein nettlesar og motsette ut i denne utdataen.
resolvectl status
resolvectl query host.corp.exampleFølg òg med på den rapporterte protokollen, fordi eit buft svar eller eit svar frå vertsfilen kan kome utan at nokon oppstraum er spurd. Eit svar frå hurtiglageret beviser at namnet vart løyst ein gong, ikkje at gjeldande policy ruter det rett.
Hald namneruting skild frå pakkeruting
Ei resolvarbeslutning skaper ikkje ein veg. Den valde tenaren treng framleis ei rute til adressa si, og adressa som vert returnert, treng framleis ei rute inn i det private nettet, så ein rett DNS-policy kan eksistere saman med ei kopling som aldri vert opna. Når eit namn vert løyst og applikasjonen feilar, undersøk adressa og ruta i staden for å endre DNS igjen. Namneoppslag og tilgjenge er to spørsmål med to ulike eigarar.
Applikasjonar kan omgå systemresolvaren heilt gjennom si eiga sikre DNS-innstilling eller ein innebygd resolvar. resolvectl-resultatet skildrar systemvegen, og ein nettlesar som ignorerer det, vil vere usamd i kvar test du gjer. Sjekk den innstillinga før du konkluderer med at policyen er øydelagd.
Noter adressa namnet vart løyst til, ved sida av koplinga. Eit rett namn som peikar på feil adresse, er eit oppføringsproblem og ikkje eit rutingsproblem.
Sjekk på nytt etter at koplinga har endra seg
Ei gjentilkopling eller eit trådlaust bytte byggjer opp koplingstilstanden på nytt, og ein nettverkshandsamar kan installere domena og tenarane sine på nytt over alt som er sett manuelt. Spør deretter på dei same to namna og samanlikn med den registrerte grunnlinja. Viss ei manuell endring er borte, høyrer rettinga heime i tilkoplingsprofilen og ikkje i ein skalkommando. Det er registreringa før og etter som gjer det synleg.
Del berre namna og tenarkonteksten rapporten treng, fordi interne suffix avslører topologi. systemd-resolved-dokumentasjonen om domenenruting dekkjer regelen om lengste samsvar og tilde-åtferda, og éin gjennomlesing hindrar dei fleste tabellfeila ovanfor: førespurnadsruting i systemd-resolved.