Arquivo de resolver do macOS para um domínio local ao lado de uma VPN

Sua VPN de trabalho resolve nomes da empresa perfeitamente enquanto a impressora em casa continua inacessível pelo nome, e a correção usual que as pessoas buscam é apontar o Mac inteiro para o roteador de casa. Essa é uma mudança muito maior do que o problema exige. O macOS pode enviar um único sufixo DNS ao seu próprio servidor por meio de um pequeno arquivo de resolver, deixando todas as outras consultas exatamente onde estavam.

A fronteira de permissão vem primeiro: isto é para um domínio que você administra ou foi autorizado a configurar. Não é um caminho para contornar a política de DNS imposta por uma organização ou suas restrições de rede local.

Um arquivo com uma tarefa estreita

Suponha que a zona local seja lab.example.org e que o servidor dela responda em 192.168.55.1. Em um Mac em que você tem permissão para fazer a mudança, um administrador cria um arquivo de texto simples cujo nome é o próprio domínio, /etc/resolver/lab.example.org, contendo uma única linha nameserver 192.168.55.1. O diretório pode não existir em um sistema novo, então crie-o com direitos de administrador e verifique antes de escrever se o software de gerenciamento já possui um arquivo ali.

A documentação de configuração de resolver da Apple descreve a convenção de que o nome do arquivo fornece o domínio quando nenhuma configuração de domínio separada aparece dentro do arquivo. Essa regra de nomenclatura é o truque inteiro, e é por isso que o arquivo precisa ser nomeado pela zona e não pelo servidor.

Como o macOS escolhe entre resolvers

Mais de um cliente de resolver pode estar ativo, e o domínio correspondente mais específico vence. Um resolver para lab.example.org tem, portanto, um escopo diferente do resolver padrão, e um subdomínio mais específico com seu próprio arquivo pode voltar a ter precedência. É isso que permite a uma VPN de trabalho manter seu próprio sufixo enquanto sua zona de laboratório vai para outro lugar. Nada nesse arranjo é global, e esse é o ponto que vale lembrar.

Deixe /etc/resolv.conf em paz. o macOS escreve esse arquivo sozinho, e ele nunca teve o quadro completo da resolução específica por domínio. A configuração também pode chegar do banco de dados de configuração do sistema em vez de arquivos neste diretório, e por isso um perfil de gerenciamento pode substituir o que você escreveu.

Três coisas que o arquivo não pode fornecer

O servidor precisa ser alcançável. Se a VPN bloquear a rede local, ou uma rota corporativa capturar a faixa de endereços do servidor, um arquivo de sufixo perfeitamente correto ainda não conseguirá entregar uma consulta. Leve isso ao dono da rede em vez de ampliar exceções locais por conta própria.

A zona precisa conter a resposta certa, e o melhor teste disso é um nome totalmente qualificado como printer.lab.example.org. Um nome curto pode acionar o comportamento de domínios de busca e acabar perguntando algo diferente do que você queria perguntar.

Por fim, o aplicativo precisa conseguir usar a resposta. Resolver o nome de uma impressora não concede acesso ao endereço dela, e não abre o serviço por trás dele. O endereço retornado ainda precisa de uma rota permitida e de uma política de acesso que permita a conexão. Um arquivo de resolver muda onde um nome é consultado; ele não reserva um caminho para o resultado.

Verifique a seleção em vez de substituir o DNS

Verifique o que o macOS está realmente usando agora, e consulte o nome totalmente qualificado de dentro do próprio aplicativo ou de uma ferramenta que resolva como os aplicativos fazem. Uma consulta direta a 192.168.55.1 prova que o servidor responde; não prova que o macOS escolheu esse servidor para consultas comuns. São fatos diferentes, e só o segundo descreve o que seu navegador vai experimentar.

Se outro resolver já reivindica o mesmo sufixo, descubra quem é o dono antes de adicionar dicas de prioridade. A configuração documentada search_order ordena clientes que compartilham um domínio; não é um interruptor global de preferência que faz um resolver genérico vencer todas as consultas.

Confirme que os nomes da empresa ainda resolvem com a VPN conectada, depois anote o arquivo e seu propósito em suas notas locais. Quando o arranjo for desfeito, exclua apenas esse arquivo e verifique os dois espaços de nomes novamente, em vez de redefinir todas as configurações de DNS da rede.