Nazwy hostów VPN zawodzą, adresy IP działają: gdzie szukać

Dostęp przez IP działa, a nazwy zawodzą, co wskazuje na sufiksy i wymuszone resolvery, a nie na trasy. Przejdź adres, FQDN, krótką nazwę i starą ścieżkę.

Możesz otworzyć udział po adresie, a ten sam udział po nazwie zawodzi, co oznacza, że tunel przenosi pakiety, a warstwa nazw nie. Ta jedna obserwacja oszczędza objazd przez zmiany zapory i tras. Nazwy potrzebują sufiksu, resolvera i ścieżki dla zapytania, a klient VPN może zainstalować trasę bez instalowania żadnego z nich. Przejdź cztery kontrole poniżej po kolei i zatrzymaj się na pierwszej, która się zepsuje.

Nazwa zadaje pytanie, którego adres nie zadaje

Adres to cel, którego stos może użyć od razu. Krótka nazwa to pytanie, które trzeba rozszerzyć sufiksem, wysłać do resolvera i uzyskać odpowiedź od czegoś, co zna strefę. Tunel, który instaluje trasy, ale nie resolver, zostawia pierwsze działające, a drugie zepsute. Dlatego objaw wygląda tak spójnie w bardzo różnych produktach VPN.

Pracuj od adresu na zewnątrz: najpierw pełna nazwa, potem goła nazwa hosta, i zanotuj, która z trzech działa. Wzorzec mówi, którą warstwę zbadać, zanim otworzysz choć jeden ekran konfiguracji. Zgadywanie tras, gdy FQDN się rozwiązuje, to zmarnowany wysiłek.

Przeczytaj resolver, który tunel naprawdę zainstalował

Zapytaj system operacyjny który resolver obsługuje zapytania dla strefy wewnętrznej, a nie który reklamuje interfejs klienta VPN. Serwer, który wymusza publiczny resolver bez strefy wewnętrznej, daje dokładnie tę awarię, i jest to błąd konfiguracji, a nie usterka routingu.

resolvectl status
nslookup fileserver.corp.example
nslookup fileserver

Na kliencie Windows przyłączonym do domeny polityka routingu przestrzeni nazw decyduje, które zapytania idą do którego resolvera, a własne ustawienia DNS adaptera VPN pojawiają się w szczegółach adaptera. Czytaj politykę obowiązującą, a nie profil, ponieważ polityka z pamięci podręcznej może przeżyć połączenie, które ją zainstalowało. Jeśli resolver odpowiada na pełną nazwę, a nie na krótką, problem przeniósł się już do listy sufiksów.

Get-DnsClientNrptPolicy
ipconfig /all

Zatrzymaj się, jeśli strefa wewnętrzna rozwiązuje się przez właściwy serwer. Resolver nie jest twoim problemem.

Sufiksy wyjaśniają krótkie nazwy, które zawodzą

Nazwa z jednym etykietem jest rozszerzana listą sufiksów połączenia, zanim zapytanie zostanie wysłane. Jeśli VPN nie dostarczy sufiksu wewnętrznego, fileserver nigdy nie staje się fileserver.corp.example, a zapytanie wychodzi jako nazwa, której nie zna żaden publiczny resolver. Wymuszenie sufiksu albo wpisanie pełnej nazwy testuje hipotezę bez zmiany czegokolwiek na serwerze.

nslookup fileserver.corp.example
ping -a 192.168.50.20

W Linuksie usługa resolvera wiąże serwer DNS z łączem i zbiorem domen routingu, więc wymuszony serwer, który nie jest powiązany z łączem tunelu, zachowuje się tak, jakby go nie było. Sprawdź stan dla każdego łącza, a nie plik stub, który może wskazywać tylko lokalny resolver. To samo rozdzielenie widać w drugą stronę: domena wyszukiwania, która istnieje, ale nie jest zastosowana do interfejsu tunelu, daje błędy krótkich nazw, które wyglądają losowo.

Jeśli dodanie sufiksu to naprawia, pozostaje dostarczyć ten sufiks przez profil VPN, zamiast prosić każdego użytkownika o jego wpisanie.

NetBIOS i WINS to inny mechanizm

Stary SMB wciąż potrafi odszukać gołą nazwę usługą nazw NetBIOS, która odpowiada przez rozgłaszanie lub przez serwer WINS. Rozgłaszanie zostaje w obrębie jednej domeny rozgłaszania i zatrzymuje się na pierwszym routerze, więc nie przejdzie przez tunel; WINS działa, bo klient ma adres unicast, pod którym się rejestruje i o który pyta. Dlatego VPN przenoszący tylko IP wciąż może obsługiwać stare nazwy, gdy WINS jest skonfigurowany i osiągalny.

nbtstat -n
nbtstat -R

Dla nowoczesnego SMB polegaj na DNS i pełnej nazwie, a starą ścieżkę wyślij na emeryturę. Jeśli naprawdę jest stara, zapewnij WINS albo zastąp aplikację; środek to kolejka wsparcia, która nigdy się nie opróżnia.

Wędrówka kończy się, gdy możesz powiedzieć, która warstwa zawiodła: resolver, sufiks czy stare wykrywanie. Zapisz resolver, który odpowiedział, i formę nazwy, która zadziałała, bo następna osoba zacznie od tego samego objawu.

Powiązane artykuły