Korte interne namn feilar på VPN: suffikset du aldri ser
Eit kort namn verkar berre fordi eit søkesuffiks fullfører det. Samanlikn det fulle og det korte namnet for å skilje eit suffiksgap frå ein resolverfeil.
Det korte namnet verka på kontoret og feilar på VPN, medan det fulle namnet blir slått opp utan problem. Ingenting er øydelagt. Eit bart namn som intranet er ikkje eit fullstendig namn; klienten legg til eit suffiks frå søkelista si og spør etter resultatet. Viss VPN-profilen ikkje leverer det suffikset, sluttar den kjende korte forma å eksistere.
Det er heile myten. DNS gjekk ikkje i stykker, søkjepolitikken vart endra.
Eit bart namn er ikkje eit namn
Når du skriv ei enkel etikett, må resolveren avgjere kva han skal spørje om. Han prøver namnet som oppgjeve, og legg deretter til oppføringar frå søkelista éin om gongen til noko svarar. På Linux styrer resolv.conf den rekkjefølgja med innstillingane search og ndots. På Windows gjer suffikslista og namneoppløysingspolitikken det same. Fjern suffikset, og resolveren har ingenting å leggje til.
Eit fungerande kort namn er derfor prov på ein politikk, ikkje prov på ein sunn DNS-tenar.
Kva suffikslista og resolveradressa kvar for seg gjer
Desse to blir stadig blanda saman. Resolveradressa seier kven ein skal spørje; suffikslista seier kva namn ein skal spørje om. Ein VPN kan gje deg ein privat resolver utan suffiks, eller eit suffiks med feil resolver. Berre éin av desse feila ser ut som eit DNS-avbrot.
Sjekk dei kvar for seg, fordi reparasjon av den feile brenn eit støttevindauge.
| What you see | Likely cause |
|---|---|
| Full name resolves, short name fails | Suffix or search list missing |
| Neither resolves | Resolver unreachable or wrong domain rule |
| Both resolve, resource fails | Route or service permission |
Tre symptom, tre ulike eigarar.
Test det fulle namnet først
Spør etter administratoren sitt dokumenterte fullt kvalifiserte namn, ikkje ei gjetting. Eit fungerande FQDN beviser at resolveren er tilgjengeleg og at oppføringa finst, noko som fjernar halvparten av dei mogelege årsakene med éi førespurnad. Bruk eit verktøy som viser kva tenar som svara, slik at du ikkje les eit bufra resultat.
Hald testen privat. Å sende interne variantar til ein offentleg resolver avdekkjer namn og testar ein politikk ingen hadde til hensikt.
Kvar rettinga høyrer heime
Rett den eigarprofilen eller administrasjonssystemet som genererer han. Ei manuell endring i den lokale resolverkonfigurasjonen forsvinn vanlegvis ved tilkopling på nytt, eller gjeld for alle nettverk maskinen koplar til, noko som er verre.
På Windows undersøkjer du den effektive politikken i staden for avkrysningsboksen du hugsar. Get-DnsClientNrptPolicy viser namneoppløysingsreglane som faktisk gjeld.
På macOS skriv scutil --dns ut resolverkonfigurasjonen per avgrensa grensesnitt, inkludert søkedomena VPN-en sende.
På Linux les du search-linja i /etc/resolv.conf, men sjekk om ein VPN-klient har skrive ho om. Viss fila blir administrert, rediger sanningkjelda i staden for den gjengjevne fila. Ei utdatert search-linje frå eit tidlegare nettverk er ein vanleg årsak.
Kva du bør oppbevare saman med profilen
Oppbevar det retta fulle namnet, suffikslista og resolveradressa ved sida av klientprofilen. Den neste personen som melder at intranet-sida er nede, kan samanlikne tre kjende verdiar i staden for å byrje på ei tom side.
Og viss berre den korte forma feilar, sei det i saka. Den setninga sparer resolverteamet ein ettermiddag.