mDNS într-un VPN: de ce numele .local nu se rezolvă

Imprimanta de la birou apare în fiecare aplicație de pe biroul dumneavoastră și dispare pe VPN, deși puteți face ping la adresa despre care știți că o are. Nimic din tunel nu este stricat: descoperirea și accesibilitatea sunt servicii separate, iar implicit doar unul dintre ele traversează un tunel rutat. Verificările de mai jos le separă înainte de a începe să adăugați rute. O rută nu poate repara o interogare care nu a părăsit niciodată legătura.

Verificați ce se rezolvă astăzi și ce doar pare rezolvat

Separați mai întâi cele două întrebări: o interogare unicast pentru un nume de gazdă întreabă un rezolvator, în timp ce o căutare pentru _ipp._tcp întreabă legătura locală. Pe Linux, avahi-browse -a arată ce poate vedea DNS-ul multicast, iar resolvectl query name.local arată ce face stiva de rezolvare cu acel nume. Pe macOS, dns-sd -B _ipp._tcp listează serviciile descoperite fără a avea nevoie mai întâi de o adresă.

Dacă adresa răspunde și numele nu, rutarea funcționează și descoperirea nu. Un nume .local poate fi rezolvat și pe gazda însăși prin nss-mdns fără ca avahi-browse să fie instalat, așa că un getent sau un ping reușit către acel nume nu este dovada că descoperirea a traversat tunelul; rezultatul căutării și rezultatul rezolvatorului sunt dovezi diferite. Aplicațiile memorează în cache ce au descoperit, motiv pentru care defectul apare adesea la ore după conectare, nu la conectare. Închideți și redeschideți aplicația, apoi verificați dacă intrarea din cache conține un nume sau o adresă, deoarece o adresă continuă să funcționeze mult după ce descoperirea s-a oprit.

De ce interogarea nu traversează niciodată tunelul

DNS-ul multicast trimite interogări către 224.0.0.251, în interiorul blocului de control al rețelei locale, pe portul UDP 5353. Routerele nu redirecționează adrese din acel bloc, așa că interogarea rămâne pe legătura către care a fost trimisă. Emițătorii setează și TTL-ul IP, sau limita de salturi IPv6, la 255, astfel încât receptorul să poată respinge un pachet care a traversat deja un router; astfel protocolul detectează falsificarea din afara legăturii, nu astfel rămâne local. Localitatea vine de la adresa de destinație, nu de la un TTL de un singur salt.

Și tipul tunelului contează. O interfață de stil tun transportă pachete IP și nimic altceva, așa că niciun grup multicast nu supraviețuiește prin ea. Un pod de stil tap extinde domeniul de difuzare în sine, motiv pentru care unele proiecte vechi făceau pod în loc să ruteze și au moștenit fiecare problemă pe care o aduce podul.

O excepție pentru LAN de încredere nu schimbă nimic din acestea, pentru că decide ce trafic poate folosi tunelul în loc să învețe tunelul să redirecționeze multicast. Pachetul tot nu are un segment comun pe care să fie auzit.

Alegeți un design de denumire pe care îl puteți întreține

Pentru resursele companiei, răspunsul durabil este un nume de gazdă rutat servit de rezolvatorul pe care VPN-ul îl împinge, împreună cu DNS divizat astfel încât numele interne să meargă la servere interne, iar restul nu. Windows îl expune ca tabel de politici de rezolvare a numelor, macOS folosește rezolvatoare cu domeniu de aplicare pe interfață, iar majoritatea clienților au o setare echivalentă de împingere. Dispozitivul își păstrează numele obișnuit în DNS-ul intern, iar descoperirea încetează să mai facă parte din cale.

Un proxy de descoperire sau un reflector mDNS poate umple acest gol, iar acesta este un design real cu gazda, expunerea și cerințele sale de client. Nu apare pentru că ați adăugat o rută. Nu redirecționați niciodată interogări .local către un rezolvator public: domeniul este rezervat pentru uz multicast local de către RFC 6762, iar trimiterea lui în exterior produce eșecuri lente și dezvăluire inutilă de date.

Verificați serviciul, nu numele

Un nume într-o listă de căutare dovedește pasul de descoperire, nu că serviciul răspunde. Deschideți coada de imprimare sau interfața web și finalizați o operațiune reală, apoi repetați-o după o reconectare.

Descoperirea memorează numele în cache agresiv, așa că o intrare veche poate părea un succes. Dacă apare un certificat sau o solicitare de autentificare, acesta este stratul următor și o problemă separată. Notați ce mecanism ați schimbat, rezolvatorul sau descoperirea, ca următoarea persoană să nu fie nevoită să redeschidă toată întrebarea.