Privátny DNS v Pritunle nefunguje? Pridajte úzku trasu resolvera

Privátne mená sa prekladajú pre všetkých v podnikovej sieti a vypršia pre všetkých na VPN. Resolver odpovedá bráne, trasa k nemu existuje, a dopyt napriek tomu nikdy nedostane odpoveď. Nechýba ďalší verejný resolver ani širšia trasa: chýba zdrojová adresa, na ktorú je privátny DNS server ochotný odpovedať.

Overte, že resolver odmieta váš klientsky pool

Začnite dôkazom, že zlyhanie sa týka zdroja, nie dosiahnuteľnosti. Z pripojeného klienta opýtajte privátny resolver priamo a sledujte, či požiadavka vyprší alebo sa vráti ako odmietnutie. dig @10.40.0.53 intranet.example.net +time=2 +tries=1 vyprší, kým ten istý dopyt z brány uspeje, čo ukazuje na prístupovú politiku na resolvere. Odpoveď SERVFAIL ukazuje úplne inam, zvyčajne na zónu alebo nadradený preposielač.

Pred testom si poznačte adresu klienta. ip -4 addr show tun0 na klientovi alebo lease zobrazený v konzole vám povie, ktorý pool resolver vidí.

Potom overte, že cesta vôbec existuje. Trasa, ktorá posiela adresu resolvera do tunela, je predpoklad, nie riešenie; ak pakety nikdy nedorazia, zdrojová politika sa vôbec neposudzuje. Skontrolujte to pomocou ip route get 10.40.0.53 na klientovi.

Pridajte jednu trasu k hostiteľovi namiesto prekladu všetkého

Príručka Pritunlu pre privátny DNS opisuje úzke riešenie: trasa /32 s povoleným NAT pre adresu resolvera, pričom táto adresa je zvolená ako DNS server klientov. Trasa mení zdroj, ktorý resolver vidí, iba pre DNS prevádzku. Prevádzka aplikácií si zachováva návrh so zachovaním zdroja, ktorý ste preň zvolili.

Nakonfigurujte ju cez podporovaného vlastníka trás na serveri, po kontrole existujúcich trás na prekrytie. V príklade vyššie je cieľom 10.40.0.53/32 s povoleným NAT a klientsky pool zostáva 10.90.0.0/24. Nekonvertujte celý privátny rozsah, aby ste opravili jednu službu, pretože každá následná politika, ktorá sa spolieha na skutočnú adresu klienta, začne namiesto nej vidieť bránu. Overte adresu, ktorú resolver skutočne dostáva, sledovaním jeho denníka dopytov počas testovacieho vyhľadania. Samotná trasa k hostiteľovi nič nedokazuje o preklade ani povolení.

Resolver stále musí povoliť preložený zdroj na UDP a TCP a jeho odpovede sa musia vedieť vrátiť. Zmena zdroja nemôže vytvoriť chýbajúcu zónu alebo záznam.

Rozhodnite, či dopyt posiela server alebo klient

Pritunl dokumentuje aj usporiadanie DNS proxy naviazané na VPN Client DNS Mapping, kde server preposiela nadradené dopyty za klientov. V tomto modeli patrí nadradený zdroj vlastnému sieťovému kontextu servera a výnimka na strane klienta je nesprávne riešenie.

Pred pridaním čohokoľvek určite, ktorý model je aktívny. Tri prekrývajúce sa opravy, proxy, prepísanie resolvera na klientovi a ručný skript NAT zvyčajne znamenajú, že nikto neustanovil: ktorý komponent má dopyt odosielať. Skontrolujte aj bootstrap: iba privátny resolver nemôže byť jediným spôsobom, ako nájsť koncový bod pred existenciou tunela, a trvalá úprava resolvera by nemala prežiť pripojenie.

Testujte privátne vyhľadanie, nie verejnú webovú stránku

Po použití zmeny a opätovnom pripojení skontrolujte efektívnu konfiguráciu resolvera klienta a potom preložte názov, o ktorom viete, že existuje len v privátnej zóne. dig intranet.example.net bez explicitného servera ukazuje, čo klient skutočne používa. Nasledujte požiadavkou na adresu, ktorú toto vyhľadanie vrátilo, pretože preklad a prístup k službe sú samostatné kroky. Prehliadač, ktorý načítava verejné stránky cez DNS-over-HTTPS, nič nedokazuje o ceste privátneho resolvera operačného systému. Ani verejný sekundárny resolver nie je autoritou pre internú zónu.

Zaznamenajte adresu resolvera, trasu /32 a nastavenie DNS klienta spolu do poznámok servera. Polovica tejto konfigurácie obnovená samostatne reprodukuje pôvodné zlyhanie.

Nakoniec overte, že tunel po úspechu DNS stále smeruje destináciu aplikácie. Trasa, prístup k službe a overenie zostávajú nezávislé od prekladu názvov a funkčné vyhľadanie nič nehovorí o priepustnosti. Ak je privátna stránka pomalá, ale prekladá sa, resolver urobil svoju prácu a problém sa presunul na cestu.