DNS gosta v VirtualBox NAT se zlomi, ko se gostitelj pridruži VPN

Na gostitelju Windows se notranje ime aplikacije razreši takoj, ko se VPN poveže, v gostu Ubuntu pa ne. Gost obdrži svoje nastavitve resolverja, in adapter NAT pred njim lahko odgovarja na poizvedbe DNS na dva različna načina. Če gosta usmerite na javni resolver, se spletna mesta znova naložijo, zasebna imena pa ostanejo polomljena. Zato se pot resolverja spremlja, preden se karkoli uredi.

Sledite enemu iskanju skozi adapter NAT

Za kontrolo izberite eno notranje popolnoma kvalificirano ime in eno javno ime. S postavljenim tunelom na gostitelju potrdite, da se notranje ime razreši in da se aplikacija za njim odpre. Nato zaženite isti dve poizvedbi znotraj gosta in primerjajte odgovore, ne orodij.

Preden nadaljujete, potrdite, da je adapter res običajen NAT. Premostitveni adapter, imenovano omrežje NAT in drug odjemalec VPN znotraj gosta imajo vsak svojo konfiguracijo in svojo razlago. Ugibanje na tej točki zapravi preostanek preiskave.

VBoxManage showvminfo work-ubuntu --machinereadable | grep -i natnet
resolvectl status | head -40
cat /etc/resolv.conf

Prvi ukaz prikaže način adapterja in morebitno omrežje NAT, povezano z njim. V gostu Ubuntu drugi navede nastavitve DNS na povezavo, tretji pa pogosto razkrije le lokalni naslov stub, kar pomeni, da je pravi upstream drugje.

Razreševanje in dosegljivost imejte ločeno. Gost, ki prejme pravi naslov, a ne more odpreti povezave, ima težavo z usmerjanjem, filtriranjem ali dovoljenji storitve, in nadaljnje spremembe DNS se ga ne bodo nikoli dotaknile. Naslov preizkusite ločeno in zapišite, katera od obeh stvari ni uspela.

Način proxy in način resolverja gostitelja sta različna mehanizma

V načinu proxy motor NAT posreduje poizvedbe gosta strežnikom DNS, ki jih že pozna. V načinu resolverja gostitelja poizvedbo prestreže in prosi operacijski sistem gostitelja, naj ime razreši s tistim, kar gostitelj uporablja prav zdaj. Samo drugi sledi odjemalcu VPN, ki ob dvigu tunela prepiše razreševanje na gostitelju. Zato dve nastavitvi dajeta različne odgovore na istem stroju.

Ta razlika je ves problem v enem stavku. Dati gostu seznam naslovov strežnikov ni isto kot prositi Windows, naj ime razreši prek svojega konfiguriranega resolverja, in pri VPN z razdeljenim DNS se odgovora razlikujeta. Možnost adapterja zadeva mehanizem, ne dovoljenja.

Nobeden od načinov ne daje dostopa do česar koli. Avtorizacija živi v politiki VPN in v storitvi, uspešno iskanje pa pomeni le, da je ime postalo naslov.

Preklopite adapter in nato preverite, kaj gost prejme

Najprej zapišite omrežne nastavitve in nastavitve DNS VM, nato izklopite stroj, da boste urejali trajno konfiguracijo. Za VM z imenom work-ubuntu, katere prvi adapter nosi NAT, se možnost za posamezni adapter nastavi z gostitelja, ko je VM izklopljen. Nato ga znova zaženite in preglejte rezultat, namesto da bi zaupali izhodnemu stanju.

VBoxManage modifyvm work-ubuntu --natdnshostresolver1 on
VBoxManage showvminfo work-ubuntu --machinereadable | grep -i natdns

Zadnja številka izbere številko adapterja, zato to ni univerzalna vrednost; nastavitev za adapter 2 bi na tem mestu nosila 2. Uporabite binarno datoteko VBoxManage, ki pripada nameščeni različici VirtualBoxa, ker starejša na poti lahko zapiše nastavitve, ki jih delujoča različica ignorira.

Če namesto tega omogočite možnost proxy, izberete drug mehanizem in ne dobite vedenja resolverja gostitelja. Po zagonu gosta preverite konfiguracijo DNS, ki jo dejansko ima, ker pripet resolver ali nastavitev šifriranega DNS znotraj gosta ohranja aplikacije na drugi poti ne glede na to, kaj ponuja adapter.

Preizkusite skozi celoten življenjski cikel VPN, ne le enkrat

Ponovite obe iskanji v gostu, nato odprite pravo aplikacijo in ji dovolite, da preveri ime gostitelja TLS. Preizkus povezave samo po IP dobro izolira DNS, vendar ni pregled potrdila in ga kot takega ne bi smeli prijaviti. Zapišite ime, naslov in rezultat aplikacije skupaj.

Med odobrenim oknom prekinite in znova vzpostavite VPN gostitelja ter ponovite preizkus. Rezultat bi moral ustrezati politiki dostopa, in to, da javno razreševanje spet deluje, ne pove ničesar o tem, ali so zasebne poizvedbe ostale na predvideni poti.

Ko način resolverja gostitelja ničesar ne spremeni, vrnite zabeleženo vrednost in obdržite opažanja. Odjemalec VPN, ki izključuje promet hipervizorja, nedosegljiv notranji resolver in pripeta nastavitev gosta potrebujejo vsak svoj popravek, premostitev adapterja pa spremeni zasnovo omrežja, namesto da bi ponastavila DNS.