DNS dividido sobre OpenVPN: o que um domínio de encaminhamento deve fazer em cada sistema operacional

Cada pedido de DNS dividido começa com a mesma frase: os nomes da empresa vão para o DNS da empresa, e tudo o resto continua a funcionar. Transformar essa frase numa configuração significa responder a três perguntas por sistema operacional, e as respostas usam mecanismos diferentes em cada um. Perfis que funcionam num portátil Linux falham frequentemente no Windows por razões que nada têm a ver com o túnel. A diferença é normalmente uma definição de resolver tomada por rota.

Dê primeiro o nome à política e depois escolha a primitiva da plataforma que a exprime.

Três definições fáceis de confundir

Um sufixo de pesquisa expande um nome curto: escrever files torna-se files.corp.example quando o resolver tenta os sufixos pela ordem. Um domínio de encaminhamento escolhe qual resolver responde às consultas dentro de um espaço de nomes. Uma rota IP apenas torna o resolver escolhido alcançável. Estas três vivem em camadas diferentes, e trocar uma pela outra produz uma configuração que parece correta e não resolve nada.

A confusão tem um custo: acrescentar um sufixo de pesquisa envia todos os nomes curtos para o resolver do trabalho, incluindo nomes que pertencem a outro sítio. Escolher um domínio de encaminhamento mantém as consultas não relacionadas no resolver local e continua a enviar *.corp.example pelo túnel.

Linux: um domínio só de encaminhamento, não um sufixo de pesquisa

No systemd-resolved, um domínio prefixado com til é um domínio só de encaminhamento, o que significa que as consultas desse espaço de nomes vão para o resolver ligado sem também se tornarem um sufixo de pesquisa. resolvectl domain tun0 '~corp.example' define isso, e resolvectl dns tun0 10.8.0.1 nomeia o servidor. Ambas as definições pertencem à interface, por isso desaparecem com ela. O til é a parte que as pessoas omitem, e sem ele os nomes curtos começam a resolver-se pelo resolver do trabalho.

Não instale também o mesmo domínio como sufixo de pesquisa global. As duas definições não são redundantes; uma encaminha e a outra reescreve o que escreveu.

Windows precisa de uma política de espaço de nomes, não de um sufixo

O Windows guarda a política de DNS dividido na Name Resolution Policy Table, não no sufixo DNS do adaptador. Uma regra associa um espaço de nomes a servidores específicos: Add-DnsClientNrptRule -Namespace .corp.example -NameServers 10.8.0.1. Definir apenas o sufixo muda o aspeto dos nomes curtos; não encaminha a consulta para outro servidor.

Verifique a política efetiva com Get-DnsClientNrptPolicy depois de ligar, porque uma regra de uma ligação anterior pode sobreviver ao túnel. Remova as regras pelo nome quando o túnel cair, e mantenha o nome de apresentação estável para que a limpeza atinja a entrada certa.

Um único dono do resolver por plataforma

Um gestor de ambiente de trabalho, um script up do OpenVPN e um daemon de resolver local podem todos tentar escrever a mesma configuração. Quando discordam, ganha o último que escreve e o resultado depende da ordem de desmontagem. Escolha um componente para deter o estado do resolver, deixe os outros relatar em vez de escrever, e teste uma religação: a política deve sobreviver-lhe sem duplicar regras. Teste também uma desligação, porque é o estado deixado para trás que faz a ligação seguinte comportar-se de forma diferente.

As aplicações que trazem o seu próprio resolver cifrado ignoram completamente a política do sistema operacional. Isso é uma propriedade da aplicação, não um defeito no túnel.

Verifique o resultado, não o texto do perfil

Resolva um nome que deve passar pelo túnel e um que não deve, em cada plataforma, e confirme qual servidor respondeu. resolvectl query host.corp.example e Resolve-DnsName host.corp.example ambos relatam o servidor que respondeu. Repita após uma religação. Depois confirme que o resolver do túnel está alcançável no endereço que o perfil empurra, porque uma política correta a apontar para um servidor inalcançável falha tal como nenhuma política.

Registe o comportamento pretendido nas notas do perfil: que sufixo encaminha, que servidor responde a ele e o que acontece a tudo o resto. A próxima plataforma que apoiar vai precisar dessa frase mais do que do ficheiro de configuração.