DNS hosťa vo VirtualBoxe sa pokazí, keď sa hostiteľ pripojí k VPN

Interná aplikácia sa na Windows hostiteľovi preloží v okamihu, keď sa VPN pripojí, a hosť Ubuntu za NAT VirtualBoxu ju stále nenájde. Hosť má vlastný resolver a adaptér NAT dokáže spracovať DNS viac ako jedným spôsobom. Nahradenie resolvera hosťa verejným serverom rozbehne bežné weby a nechá súkromné mená zlyhať, čo problém presúva, namiesto toho aby ho riešilo. Prejdite štyri kontroly v poradí a zastavte sa pri prvej, ktorá neplatí.

Overte, ktorý režim adaptéra ladíte

Tak, ako tento článok opisuje, sa správa iba adaptér v jednoduchom režime NAT. Premostený adaptér sedí na fyzickej sieti s vlastnou identitou, sieť NAT je pomenovaný virtuálny prepínač s vlastným nastavením DHCP a DNS a klient VPN vnútri hosťa pridáva úplne druhý resolver. Overte režim pred ďalším čítaním, pretože oprava sa v každom z týchto prípadov líši.

Jeden virtuálny stroj môže mať dva adaptéry v rôznych režimoch a postihnutý nemusí byť vždy prvý.

Overte tiež, či hostiteľ meno vôbec prekladá. Otvorte tú istú aplikáciu na hostiteľovi so zdvihnutým tunelom a použite to isté plne kvalifikované meno, aké bude používať hosť. Ak zlyhá aj hostiteľ, hosť nie je vinný a žiadna zmena virtuálnej siete to nespraví.

Sledujte jedno meno cez resolver hosťa

Vyberte jedno interné meno a jedno verejné kontrolné meno a potom otestujte obe na oboch miestach. Verejné meno, ktoré sa preloží, kým súkromné nie, lokalizuje závadu do súkromnej cesty, nie do prekladu mien všeobecne. Testovanie iba súkromného mena vám nedovolí rozlíšiť pokazený resolver od pokazenej trasy.

Vnútri hosťa sa pozrite, na čo je resolver skutočne nastavený. Na hostiteľovi Ubuntu so systemd-resolved ukazuje stav po spojení servery, ktoré dorazili, a súbor resolv.conf môže obsahovať len zástupnú adresu, čo je správne, nie podozrivé. Ručne upravený súbor alebo samostatný klient šifrovaného DNS môže posielať dopyty úplne inam. Pred zmenou si zapíšte, čo ste zistili.

resolvectl status
resolvectl query app.internal.example

Oddelte tu preklad od dostupnosti. Adresa, ktorá dorazí, kým služba zostáva nedostupná, je otázka smerovania alebo zásad, nie DNS.

Vyskúšajte režim resolvera hostiteľa na tomto adaptéri

Možnosti NAT DNS vo VirtualBoxe opisujú rôzne mechanizmy a rozdiel začne byť dôležitý, keď sa vlastný resolver hostiteľa zmení s tunelom. Proxy DNS posúva požiadavky hosťa serverom, ktoré dostala. Režim resolvera hostiteľa požiadavky zachytí a volá DNS API hostiteľa, a to je režim, ktorý nasleduje Windows resolver prekonfigurovaný klientom VPN.

Zapnite nesprávny mechanizmus a príkaz stále uspeje, kým sa správanie nezmení, čo je mätúci spôsob, ako stratiť popoludnie.

VBoxManage modifyvm "work-ubuntu" --natdnshostresolver1 on

Zapíšte aktuálne nastavenia virtuálneho stroja, vypnite ho a zacielte adaptér, ktorý ste predtým overili. Posledná číslica v prepínači je číslo adaptéra, nie konštanta, takže jeho použitie na stroj, ktorého postihnutý adaptér je druhý, je tichá operácia bez účinku. Spustite hosťa a skontrolujte konfiguráciu resolvera, ktorú skutočne dostal, pretože ručné nastavenie v hosťovi prebíja všetko, čo ponúka vrstva NAT. Pamätajte, že režim resolvera hostiteľa tiež predpokladá, že vlastná cesta DNS hostiteľa je tá, ktorú ste chceli zdieľať.

Zopakujte rovnaké testy pri opätovnom pripojení VPN

Zopakujte oba dopyty v hosťovi, potom otvorte skutočnú aplikáciu a nechajte ju overiť certifikát samu. Test iba podľa adresy je užitočný na izoláciu prekladu mien a nie je rovnocenný funkčnej relácii TLS, takže sa nezastavujte pri ping. Potom v schválenom okne odpojte a znovu pripojte tunel hostiteľa a zopakujte ešte raz. Správanie, ktoré vydrží len pri prvom pripojení po štarte, je problém životného cyklu na nahlásenie, nie DNS záhada, ktorú má naháňať iný resolver.

Funkčný verejný preklad nedokazuje, že súkromné dopyty zostali na ceste, ktorú vyžadujú vaše zásady.

Keď režim resolvera hostiteľa nič nezmení, vráťte zapísanú konfiguráciu a ponechajte si štyri pozorovania: čo vrátil hostiteľ, čo vrátil hosť, režim adaptéra a stav resolvera. Nedostupný interný server, filter, ktorý vylučuje prevádzku hypervizora a prepis na strane hosťa potrebujú každý inú opravu. Prevod adaptéra na most mení návrh siete a nie je resetom DNS.