Kako brati usmerjanje VPN DNS za vsako povezavo iz resolvectl
resolvectl status prikazuje strežnike, domene in privzeto pot za vsako povezavo. Berite jih skupaj, nato povprašajte po imenu in zapišite, katera povezava je odgovorila.
Zaženite resolvectl status in dobite steno blokov za vsako povezavo, vsak z lastnimi strežniki in lastno vrstico domen. Vrstica, ki odloča o usmerjanju, je seznam domen, ne naslov strežnika imen, ker lokalni stub pošlje vsako poizvedbo tisti povezavi, ki zahteva ime. Preberite te zahteve, preden preberete odgovor, nato povprašajte po imenu in preverite, katera povezava ga je ustvarila. Napačen odgovor s prave povezave je druga težava kot pravilen odgovor z napačne.
Kaj vam pove vsak blok za povezavo
Vsak blok navaja strežnike, ki jih bo razreševalnik uporabil za ta vmesnik, seznam domen in ali je povezava privzeta pot. Seznam domen je niz zahtev, razreševalnik pa uporabi ujemanje najdaljše pripone: poizvedbo za host.corp.example zahteva povezava s corp.example pred tisto, ki ima samo privzeto pot. Dve povezavi, ki zahtevata isto pripono, pustita izid prioriteti in vrstnemu redu, zato si dvojniki zaslužijo pozornost najprej. Vrstica trenutnega strežnika pokaže, kateri od navedenih strežnikov se v tistem trenutku uporablja.
Naslov stub, kot je 127.0.0.53 v /etc/resolv.conf, pove le, da je stub spredaj. Ne imenuje nadrejenega vira, ki je odgovoril, zato se diagnostika, ki temelji samo na resolv.conf, ustavi.
Pravilno berite tri vrste vnosov domene
| Vnos | Kaj zahteva | Pogosta napaka |
|---|---|---|
| corp.example | domena usmerjanja in pripona iskanja: imena pod njo gredo na to povezavo, niz pa se doda golim imenom | odstranjeno, ker usmerjanje očitno vseeno deluje |
| ~corp.example | samo pot: imena pod njo gredo na to povezavo, a pripona se ne doda | domnevano, da je potreben za usmerjanje |
| ~. | privzeta pot: zahteva poizvedbe, ki jih ne pokrije nobena druga povezava | puščeno aktivno na razdeljenem profilu, zato javna imena sledijo tunelu |
Tilda spremeni vedenje iskanja, ne usmerjanja. Vnos brez tilde je hkrati domena usmerjanja in domena iskanja, zato se imena pod njo pošljejo na to povezavo in enoznačnim imenom se doda pripona. Vnos s tildo usmerja isto pripono, a jo drži zunaj seznama iskanja. Zato odstranitev tilde spremeni, katera gola imena se razrešijo, in zato je manjkajoča tilda težava iskanja, ne okvara razdeljenega DNS.
Vnos privzete poti zahteva vse, česar ne pokrije nobena druga povezava. Profil polnega tunela jo običajno želi, razdeljeni profil pa običajno ne, ker javna imena takrat potujejo do zasebnega razreševalnika in tam lahko spodletijo. Berite tabelo glede na namen profila, namesto da kopirate zastavice med profili. Ko dve povezavi zahtevata isto pripono, razrešite vprašanje prioritete, preden uredite karkoli drugega.
Povprašajte po imenu in poglejte, katera povezava je odgovorila
Podukaz query izpiše naslov, protokol ter povezavo ali obseg, ki so ustvarili odgovor. Preizkusite eno ime, ki bi ga morala zahtevati zasebna pripona, in eno običajno javno ime, nato primerjajte sporočene vire. Če zasebno ime odgovori z brezžične povezave, zahteva manjka ali je tunel spodaj; če javno ime na razdeljenem profilu odgovori iz tunela, je privzeta pot preširoka. Ti dve napaki sta v brskalniku videti enaki, v tem izhodu pa nasprotni.
resolvectl status
resolvectl query host.corp.exampleOpazujte tudi sporočeni protokol, ker lahko odgovor iz predpomnilnika ali iz datoteke hosts prispe, ne da bi bil vprašan katerikoli nadrejeni vir. Odgovor iz predpomnilnika dokazuje, da se je ime nekoč razrešilo, ne pa da ga sedanja politika usmerja pravilno.
Ločite usmerjanje imen od usmerjanja paketov
Odločitev razreševalnika ne ustvari poti. Izbrani strežnik še vedno potrebuje pot do svojega naslova, vrnjeni naslov pa še vedno potrebuje pot v zasebno omrežje, zato lahko pravilna politika DNS obstaja skupaj s povezavo, ki se nikoli ne odpre. Ko se ime razreši in aplikacija spodleti, preglejte naslov in pot, namesto da znova spremenite DNS. Razreševanje imen in dosegljivost sta dve vprašanji z dvema različnima lastnikoma.
Aplikacije lahko popolnoma obidejo sistemski razreševalnik prek lastne nastavitve varnega DNS ali vgrajenega razreševalnika. Rezultat resolvectl opisuje sistemsko pot in brskalnik, ki ga ignorira, se ne bo strinjal z nobenim vašim testom. Preverite to nastavitev, preden sklenete, da je politika zlomljena.
Zapišite naslov, na katerega se je ime razrešilo, ob povezavo. Pravilno ime, ki kaže na napačen naslov, je težava zapisa, ne usmerjanja.
Preverite znova, ko se povezava spremeni
Ponovna povezava ali preklop brezžičnega omrežja znova zgradi stanje povezave in upravitelj omrežja lahko znova namesti svoje domene in strežnike čez vse, kar je nastavljeno ročno. Nato povprašajte po istih dveh imenih in primerjajte z zapisano osnovno črto. Če je ročna sprememba izginila, popravek spada v profil povezave in ne v ukaz lupine. Prav beleženje pred in po naredi to vidno.
Delite samo imena in kontekst strežnikov, ki jih poročilo potrebuje, ker notranje pripone razkrijejo topologijo. Dokumentacija systemd-resolved o usmerjanju domen pokriva pravilo najdaljšega ujemanja in vedenje tilde, eno branje pa prepreči večino napak v zgornji tabeli: usmerjanje poizvedb v systemd-resolved.