Názov hostiteľa v LAN nefunguje cez VPN: suffix, mDNS alebo zóna?
Krátky názov sa môže opierať o vyhľadávací suffix, názov .local o multicast a názov firmy o privátnu zónu. Samotná trasa neposkytuje žiadnu službu názvov.
Vedľa zariadenia tlačiareň odpovedá na krátky názov a súborový server na prezývku. Cez tunel oba názvy vypršia, zatiaľ čo ich adresy stále fungujú. Trasa robí svoju prácu; cesta názvov, ktorá tie krátke názvy zfunkčňovala, nikdy tunel neprešla. Toto správanie vytvárajú tri mechanizmy a každý potrebuje inú opravu.
Začnite tým, že určíte, od ktorého mechanizmu názov závisí.
Tri druhy názvov, ktoré sa správajú odlišne
Názov s jedinou etiketou, ako je fileserver, sa zvyčajne opiera o vyhľadávací suffix DNS, ktorý pridáva resolver. Tento suffix často prichádza s miestnym DHCP prenájmom, takže vzdialený klient, ktorý získava adresovanie z VPN, nemá dôvod ho poznať. Pridanie trasy suffix nedoručí. Krátky názov jednoducho prestane existovať ako názov, aj keď adresa za ním je dostupná.
Názov končiaci na .local sa zvyčajne prekladá pomocou multicast DNS na miestnom spoji, ako opisuje RFC 6762. Multicast neprechádza smerovaným tunelom, ak ho niečo zámerne nepremostí alebo neproxuje, takže názov prestane prekladať v okamihu, keď opustíte segment.
Plne kvalifikovaný názov firmy patrí internej zóne obsluhovanej resolvermi organizácie. Ten funguje na diaľku, keď VPN posiela tie resolvery a klient je nakonfigurovaný ich používať. A localhost má podľa RFC 6761 špeciálne určenie: odkazuje na počítač pred vami, nikdy na vzdialenú službu.
Prečítajte resolver skôr, než zmeníte trasu
Spýtajte sa, ktorý názvový server odpovedal a ktorý suffix bol pridaný. Rovnaký dotaz cez rôzne resolvery dáva rôzne odpovede a ten rozdiel je dôkaz, ktorý potrebujete.
getent hosts fileserver getent hosts fileserver.corp.example.com nslookup fileserver.corp.example.com dig +search fileserver A resolvectl query fileserver.corp.example.com scutil --dns | head -30
Ak sa plne kvalifikovaný dotaz preloží, ale krátky nie, porucha je v suffixe, nie v serveri. Ak sa nepreloží ani jeden a adresa funguje, klient vôbec nepoužíva interný resolver. Porovnajte zoznam resolverov s tým, čo by VPN malo posielať, pretože klient, ktorý si pre každý dotaz ponecháva miestny resolver, nikdy neuvidí internú zónu.
Prineste správny názov klientovi
Požiadajte správcu o dokumentovaný názov pre vzdialený prístup, celý, a použite ho v profile namiesto hádania suffixov. Ak nasadenie podporuje split DNS, nakonfigurujte internú doménu tak, aby ju prekladali interné servery, kým všetko ostatné si ponechá miestny resolver. Posielajte vyhľadávaciu doménu cez konfiguráciu VPN tam, kde to klient podporuje.
Overte výsledok na klientovi, nie na bráne. Nastavenie použité na serveri, ktoré sa nikdy nedostane ku klientovi, nič nezmení.
Zachovajte identitu certifikátu nedotknutú
Test založený na adrese, ktorý ignoruje chybu certifikátu, dokazuje len to, že sa socket otvoril. Certifikát služby je vydaný pre názov a klient bude nesúlad naďalej oprávnene odmietať. Ak certifikát uvádza len interný názov, použite ten názov a opravte preklad, alebo si zaobstarajte certifikát, ktorý pokrýva adresu, ktorú plánujete používať.
Zaznamenajte názov, resolver a suffix, ktoré viedli k úspešnému spojeniu. Ten záznam ušetrí ďalšiemu človeku opakovanie obchádzky založenej na adrese, ktorá skrýva skutočný problém.