Súbor resolvera macOS pre lokálnu doménu vedľa VPN

Vaša pracovná VPN dokonale prekladá firemné názvy, zatiaľ čo tlačiareň doma zostáva nedostupná podľa názvu, a bežná oprava, po ktorej ľudia siahajú, je nasmerovať celý Mac na domáci router. To je oveľa väčšia zmena, než problém vyžaduje. macOS dokáže poslať jednu príponu DNS na svoj vlastný server cez malý súbor resolvera a nechať každé ďalšie vyhľadanie presne tam, kde bolo.

Najprv prichádza hranica povolení: toto je pre doménu, ktorú spravujete alebo na ktorej konfiguráciu máte oprávnenie. Nie je to cesta okolo DNS politiky presadzovanej organizáciou alebo jej obmedzení lokálnej siete.

Jeden súbor s úzkou úlohou

Predpokladajme, že lokálna zóna je lab.example.org a jej server odpovedá na 192.168.55.1. Na Macu, kde vám je zmena povolená, správca vytvorí obyčajný textový súbor, ktorého názov je samotná doména, /etc/resolver/lab.example.org, obsahujúci jediný riadok nameserver 192.168.55.1. Tento adresár na novom systéme nemusí existovať, preto ho vytvorte s právami správcu a pred zápisom sa pozrite, či v ňom už nemá súbor riadiaci softvér.

Dokumentácia Apple ku konfigurácii resolvera opisuje konvenciu, že názov súboru poskytuje doménu, keď sa v súbore neobjaví samostatné nastavenie domény. Toto pravidlo pomenovania je celý trik, a preto musí byť súbor pomenovaný podľa zóny a nie podľa servera.

Ako macOS vyberá medzi resolvemi

Aktívny môže byť viac ako jeden klient resolvera a vyhráva najkonkrétnejšia zodpovedajúca doména. Resolver pre lab.example.org má preto iný rozsah ako predvolený resolver a konkrétnejšia poddoména s vlastným súborom môže opäť získať prednosť. To je to, čo umožňuje pracovnej VPN zachovať si vlastnú príponu, kým vaša laboratórna zóna ide inam. Nič na tomto usporiadaní nie je globálne, a to je bod, ktorý stojí za zapamätanie.

Nechajte /etc/resolv.conf na pokoji. macOS ten súbor píše sama a nikdy neobsahoval celý obraz rozlišovania špecifického pre doménu. Konfigurácia môže prichádzať aj zo systémovej konfiguračnej databázy namiesto súborov v tomto adresári, a preto môže profil správy prepísať to, čo ste napísali.

Tri veci, ktoré súbor nedokáže poskytnúť

Server musí byť dostupný. Ak VPN blokuje lokálnu sieť alebo firemná trasa zachytáva rozsah adries servera, dokonale správny súbor prípony stále nedokáže doručiť dotaz. Obráťte sa s tým na vlastníka siete a nerozširujte lokálne výnimky sami.

Zóna musí obsahovať správnu odpoveď a najlepšie sa to overuje plným kvalifikovaným názvom, akým je printer.lab.example.org. Krátky názov môže vyvolať správanie vyhľadávacích domén a napokon položiť inú otázku, než ste chceli.

Napokon, aplikácia musí vedieť odpoveď použiť. Preloženie názvu tlačiarne neudáva prístup k jej adrese a neotvára službu za ňou. Vrátená adresa stále potrebuje povolenú trasu a prístupovú politiku, ktorá spojenie umožní. Súbor resolvera mení, kde sa názov vyhľadáva; nerezervuje cestu pre výsledok.

Overte výber namiesto nahradenia DNS

Skontrolujte, čo macOS práve teraz skutočne používa, a dopytujte plný kvalifikovaný názov zvnútra samotnej aplikácie alebo z nástroja, ktorý prekladá tak ako aplikácie. Priamy dotaz na 192.168.55.1 dokazuje, že server odpovedá; nedokazuje, že macOS vybral ten server na bežné vyhľadávania. To sú odlišné fakty a iba druhý opisuje to, čo zažije váš prehliadač.

Ak si iný resolver nárokuje rovnakú príponu, zistite, komu patrí, skôr než pridáte náznaky priority. Dokumentované nastavenie search_order zoraďuje klientov, ktorí zdieľajú doménu; nie je to globálny prepínač preferencie, ktorý by všeobecnému resolveru zabezpečil výhru v každom dopyte.

Potvrďte, že firemné názvy sa stále prekladajú s pripojenou VPN, potom si zapíšte súbor a jeho účel do lokálnych poznámok. Keď sa usporiadanie zruší, zmažte iba ten súbor a znova skontrolujte oba priestory názvov, namiesto resetovania všetkých sieťových nastavení DNS.