Os nomes de host VPN falham, os endereços IP funcionam: onde olhar

Pode abrir a partilha pelo endereço e a mesma partilha pelo nome falha, o que significa que o túnel transporta pacotes e a camada de nomes não. Essa única observação poupa um desvio por alterações na firewall e nas rotas. Os nomes precisam de um sufixo, de um resolvedor e de um caminho para a consulta, e um cliente VPN pode instalar uma rota sem instalar nenhum deles. Percorra as quatro verificações abaixo por ordem e pare na primeira que falhar.

Um nome faz uma pergunta que um endereço não faz

Um endereço é um destino que a pilha pode usar de imediato. Um nome curto é uma pergunta que tem de ser expandida com um sufixo, enviada a um resolvedor e respondida por algo que conhece a zona. Um túnel que instala rotas mas nenhum resolvedor deixa o primeiro a funcionar e o segundo quebrado. É por isso que o sintoma parece tão consistente em produtos VPN muito diferentes.

Trabalhe do endereço para fora: primeiro o nome completo, depois o nome de host nu, e anote qual dos três funciona. O padrão diz-lhe que camada inspecionar antes de abrir um único ecrã de configuração. Adivinhar rotas quando o FQDN resolve é esforço perdido.

Leia o resolvedor que o túnel instalou de facto

Pergunte ao sistema operativo qual resolvedor trata das consultas da zona interna, não qual é anunciado pela interface do cliente VPN. Um servidor que impõe um resolvedor público sem zona interna produz exatamente esta falha, e é um erro de configuração e não uma avaria de encaminhamento.

resolvectl status
nslookup fileserver.corp.example
nslookup fileserver

Num cliente Windows associado ao domínio, a política de encaminhamento do espaço de nomes decide que consultas vão para que resolvedor, e as definições DNS próprias do adaptador VPN aparecem nos detalhes do adaptador. Leia a política efetiva e não o perfil, porque uma política em cache pode sobreviver à ligação que a instalou. Se o resolvedor responde ao nome completo e não ao nome curto, o problema já passou para a lista de sufixos.

Get-DnsClientNrptPolicy
ipconfig /all

Pare se a zona interna for resolvida pelo servidor correto. O resolvedor não é o seu problema.

Os sufixos explicam os nomes curtos que falham

Um nome com uma só etiqueta é expandido com a lista de sufixos da ligação antes de a consulta ser enviada. Se a VPN não entregar o sufixo interno, fileserver nunca se torna fileserver.corp.example, e a consulta sai como um nome que nenhum resolvedor público conhece. Impor o sufixo, ou escrever o nome completo, testa a hipótese sem alterar nada no servidor.

nslookup fileserver.corp.example
ping -a 192.168.50.20

No Linux o serviço de resolvedor liga um servidor DNS a uma ligação e a um conjunto de domínios de encaminhamento, por isso um servidor imposto que não está associado à ligação do túnel comporta-se como se não estivesse lá. Verifique o estado por ligação em vez do ficheiro stub, que pode apontar apenas para o resolvedor local. A mesma divisão aparece no outro sentido: um domínio de pesquisa presente mas não aplicado à interface do túnel produz falhas de nome curto que parecem aleatórias.

Se acrescentar o sufixo resolver o problema, o trabalho restante é entregar esse sufixo através do perfil VPN em vez de pedir a cada utilizador que o escreva.

NetBIOS e WINS são outro mecanismo

O SMB antigo ainda pode procurar um nome nu com o serviço de nomes NetBIOS, que responde por difusão ou através de um servidor WINS. A difusão fica dentro de um domínio de difusão e para no primeiro router, por isso não consegue atravessar um túnel; o WINS funciona porque o cliente tem um endereço unicast onde se registar e ao qual perguntar. É por isso que uma VPN que transporta apenas IP ainda pode suportar nomes antigos quando o WINS está configurado e é acessível.

nbtstat -n
nbtstat -R

Para o SMB moderno, confie no DNS e no nome completo, e reforme o caminho antigo. Se for genuinamente antigo, forneça WINS ou substitua a aplicação; o meio-termo é uma fila de suporte que nunca se esvazia.

O percurso termina quando consegue dizer que camada falhou: resolvedor, sufixo ou descoberta antiga. Anote o resolvedor que respondeu e a forma de nome que funcionou, porque a próxima pessoa vai começar pelo mesmo sintoma.