Razdeljeni DNS prek OpenVPN: kaj mora storiti usmerjevalna domena v vsakem operacijskem sistemu

Vsaka zahteva razdeljenega DNS se začne z istim stavkom: imena podjetja gredo v DNS podjetja, vse ostalo deluje naprej. Spremeniti ta stavek v konfiguracijo pomeni odgovoriti na tri vprašanja za vsak operacijski sistem, odgovori pa na vsakem uporabljajo drugačne mehanizme. Profili, ki delujejo na prenosniku Linux, pogosto odpovedo v Windowsu iz razlogov, ki nimajo nič skupnega s tunelom. Razlika je običajno nastavitev razreševalnika, zamenjana za pot.

Najprej poimenujte politiko, nato izberite primitiv platforme, ki jo izraža.

Tri nastavitve, ki jih je lahko zamenjati

Iskalna pripona razširi kratko ime: vnos files postane files.corp.example, ko razreševalnik poskuša pripone po vrsti. Usmerjevalna domena izbere, kateri razreševalnik odgovarja na poizvedbe znotraj imenskega prostora. IP pot le naredi izbrani razreševalnik dosegljiv. Ti trije živijo v različnih plasteh, zamenjava enega z drugim pa da konfiguracijo, ki je videti pravilna in ne reši ničesar.

Zmeda ima ceno: dodajanje iskalne pripone pošlje vsako kratko ime k delovnemu razreševalniku, tudi imena, ki spadajo drugam. Izbira usmerjevalne domene obdrži nepovezane poizvedbe na lokalnem razreševalniku in vseeno pošlje *.corp.example skozi tunel.

Linux: domena samo za pot, ne iskalna pripona

V systemd-resolved je domena s tildo spredaj domena samo za pot, kar pomeni, da poizvedbe za ta imenski prostor gredo k povezanemu razreševalniku, ne da bi postale tudi iskalna pripona. resolvectl domain tun0 '~corp.example' to nastavi, in resolvectl dns tun0 10.8.0.1 poimenuje strežnik. Obe nastavitvi pripadata vmesniku, zato izgineta z njim. Tilda je del, ki ga ljudje izpustijo, in brez nje se kratka imena začnejo razreševati prek delovnega razreševalnika.

Iste domene ne nameščajte tudi kot globalne iskalne pripone. Nastavitvi nista odveč; ena usmerja, druga prepiše, kar ste vnesli.

Windows potrebuje politiko imenskega prostora, ne pripone

Windows hrani politiko razdeljenega DNS v Name Resolution Policy Table, ne v DNS priponi vmesnika. Pravilo preslika imenski prostor v določene strežnike: Add-DnsClientNrptRule -Namespace .corp.example -NameServers 10.8.0.1. Nastavitev samo pripone spremeni videz kratkih imen; poizvedbe ne usmeri k drugemu strežniku.

Po povezavi preverite dejansko politiko z Get-DnsClientNrptPolicy, ker lahko pravilo iz prejšnje povezave preživi tunel. Odstranite pravila po imenu, ko tunel pade, in ohranite prikazno ime stabilno, da čiščenje zadene pravi vnos.

En lastnik razreševalnika na platformo

Upravitelj namizja, up skript OpenVPN in lokalni daemon razreševalnika lahko vsi poskušajo zapisati isto konfiguracijo. Ko se ne strinjajo, zmaga zadnji pisec in rezultat je odvisen od vrstnega reda razstavljanja. Izberite eno komponento, ki ima v lasti stanje razreševalnika, pustite drugim, da poročajo namesto pisanja, in preizkusite ponovno povezavo: politika jo mora preživeti brez podvajanja pravil. Preizkusite tudi odklop, ker prav preostalo stanje povzroči, da se naslednja povezava obnaša drugače.

Aplikacije, ki prinesejo svoj šifriran razreševalnik, popolnoma prezrejo politiko operacijskega sistema. To je lastnost aplikacije, ne napaka v tunelu.

Preverite rezultat, ne besedila profila

Razrešite eno ime, ki mora iti skozi tunel, in eno, ki ne sme, na vsaki platformi, in potrdite, kateri strežnik je odgovoril. resolvectl query host.corp.example in Resolve-DnsName host.corp.example oba poročata strežnik, ki je odgovoril. Ponovite po ponovni povezavi. Nato potrdite, da je razreševalnik tunela dosegljiv na naslovu, ki ga potiska profil, ker pravilna politika, usmerjena na nedosegljiv strežnik, odpove enako kot nobena politika.

Zapišite predvideno vedenje v opombe profila: katera pripona usmerja, kateri strežnik odgovarja nanjo in kaj se zgodi z vsem ostalim. Naslednja podprta platforma bo ta stavek potrebovala bolj kot konfiguracijsko datoteko.