Zasebni DNS Pritunla ne deluje? Dodajte ozko pot resolverja

Zasebna imena se razrešujejo za vse v poslovnem omrežju in potečejo za vse v VPN. Resolver odgovarja prehodu, pot do njega obstaja, poizvedba pa vseeno nikoli ne dobi odgovora. Ne manjka drug javni resolver ali širša pot: manjka izvorni naslov, na katerega je zasebni DNS strežnik pripravljen odgovoriti.

Potrdite, da resolver zavrača vaš bazen odjemalcev

Začnite z dokazom, da se napaka nanaša na vir, ne na dosegljivost. S povezanega odjemalca neposredno vprašajte zasebni resolver in opazujte, ali zahteva poteče ali se vrne kot zavrnitev. dig @10.40.0.53 intranet.example.net +time=2 +tries=1 poteče, medtem ko enaka poizvedba s prehoda uspe, kar kaže na politiko dostopa na resolverju. Odgovor SERVFAIL kaže povsem drugam, običajno na območje ali nadrejeni posredovalnik.

Pred preskusom zapišite naslov odjemalca. ip -4 addr show tun0 na odjemalcu ali zakup, prikazan v konzoli, vam pove, kateri bazen vidi resolver.

Nato potrdite, da pot sploh obstaja. Pot, ki pošilja naslov resolverja v tunel, je pogoj, ne rešitev; če paketi nikoli ne prispejo, se politika vira sploh ne upošteva. Preverite s ip route get 10.40.0.53 na odjemalcu.

Dodajte eno pot do gostitelja, namesto da prevedete vse

Pritunlovo navodilo za zasebni DNS opisuje ozko zdravilo: pot /32 z omogočenim NAT za naslov resolverja, pri čemer je ta naslov izbran kot DNS strežnik odjemalcev. Pot spremeni vir, ki ga resolver vidi, samo za promet DNS. Promet aplikacij ohrani zasnovo z ohranjanjem vira, ki ste jo izbrali zanj.

Nastavite jo prek podprtega lastnika poti na strežniku, potem ko pregledate obstoječe poti glede prekrivanja. V zgornjem primeru je cilj 10.40.0.53/32 z omogočenim NAT, bazen odjemalcev pa ostane 10.90.0.0/24. Ne prevajajte celotnega zasebnega obsega, da bi popravili eno storitev, ker bo vsaka nadaljnja politika, ki se opira na dejanski naslov odjemalca, namesto tega začela videti prehod. Potrdite naslov, ki ga resolver dejansko prejme, tako da med preskusnim iskanjem opazujete njegov dnevnik poizvedb. Sama pot do gostitelja ne dokazuje ničesar o prevajanju ali dovoljenju.

Resolver mora še vedno dovoliti prevedeni vir na UDP in TCP, njegovi odgovori pa se morajo znati vrniti. Sprememba vira ne more ustvariti manjkajočega območja ali zapisa.

Odločite, ali poizvedbo pošlje strežnik ali odjemalec

Pritunl dokumentira tudi ureditev DNS posrednika, povezano z VPN Client DNS Mapping, kjer strežnik posreduje nadrejene poizvedbe za odjemalce. V tem modelu nadrejeni vir pripada lastnemu omrežnemu kontekstu strežnika, izjema na strani odjemalca pa je napačna rešitev.

Preden kar koli dodate, ugotovite, kateri model je aktiven. Tri prekrivajoča se popravila, posrednik, prepis resolverja na odjemalcu in ročni skript NAT običajno pomenijo, da nihče ni ugotovil: katera komponenta naj pošilja poizvedbo. Preverite tudi bootstrap: samo zasebni resolver ne more biti edini način za iskanje končne točke, preden tunel obstaja, in trajna sprememba resolverja ne bi smela preživeti povezave.

Preizkusite zasebno iskanje, ne javne spletne strani

Po uporabi spremembe in ponovni povezavi preglejte dejansko konfiguracijo resolverja odjemalca, nato razrešite ime, za katero veste, da obstaja samo v zasebnem območju. dig intranet.example.net brez izrecnega strežnika pokaže, kaj odjemalec dejansko uporablja. Sledite s zahtevo na naslov, ki ga je to iskanje vrnilo, ker sta razrešitev in dostop do storitve ločena koraka. Brskalnik, ki nalaga javne strani prek DNS-over-HTTPS, ne dokaže ničesar o poti zasebnega resolverja operacijskega sistema. Tudi javni sekundarni resolver ni avtoriteta za notranje območje.

Zapišite naslov resolverja, pot /32 in nastavitev DNS odjemalca skupaj v zapiske strežnika. Polovica te konfiguracije, obnovljena sama, ponovi prvotno napako.

Na koncu potrdite, da tunel po uspehu DNS še vedno usmerja cilj aplikacije. Pot, dostop do storitve in preverjanje pristnosti ostanejo neodvisni od razreševanja imen, delujoče iskanje pa ne pove ničesar o prepustnosti. Če je zasebna stran počasna, a se razreši, je resolver opravil svoje delo in težava se je preselila na pot.