DNS i ndarë përmes OpenVPN: çfarë duhet të bëjë një domen rrugëtimi në çdo sistem operativ

Çdo kërkesë e DNS-së së ndarë fillon me të njëjtën fjali: emrat e kompanisë shkojnë te DNS-ja e kompanisë, gjithçka tjetër vazhdon të funksionojë. Shndërrimi i asaj fjalie në konfigurim do të thotë t'u përgjigjesh tre pyetjeve për çdo sistem operativ, dhe përgjigjet përdorin mekanizma të ndryshëm në secilin. Profilet që funksionojnë në një laptop Linux shpesh dështojnë në Windows për arsye që nuk kanë asnjë lidhje me tunelin. Diferenca është zakonisht një rregullim i zgjidhësit i marrë për rrugë.

Emërtoni politikën së pari, pastaj zgjidhni primitivin e platformës që e shpreh atë.

Tre rregullime që ngatërrohen lehtë

Një prapashtesë kërkimi zgjeron një emër të shkurtër: shkrimi i files bëhet files.corp.example kur zgjidhësi provon prapashtesat me radhë. Një domen rrugëtimi zgjedh cili zgjidhës u përgjigjet pyetjeve brenda një hapësire emrash. Një rrugë IP vetëm e bën të arritshëm zgjidhësin e zgjedhur. Këta të tre jetojnë në shtresa të ndryshme, dhe zëvendësimi i njërit me tjetrin prodhon një konfigurim që duket i saktë dhe nuk zgjidh asgjë.

Ngatërresa ka një kosto: shtimi i një prapashtese kërkimi dërgon çdo emër të shkurtër te zgjidhësi i punës, duke përfshirë emra që i përkasin diku tjetër. Zgjedhja e një domeni rrugëtimi i mban pyetjet e palidhura te zgjidhësi lokal dhe prapëseprapë dërgon *.corp.example përmes tunelit.

Linux: një domen vetëm-rrugë, jo një prapashtesë kërkimi

Në systemd-resolved, një domen me tildë përpara është domen vetëm-rrugë, që do të thotë se pyetjet për atë hapësirë emrash shkojnë te zgjidhësi i lidhur pa u bërë gjithashtu prapashtesë kërkimi. resolvectl domain tun0 '~corp.example' e vendos këtë, dhe resolvectl dns tun0 10.8.0.1 emërton serverin. Të dyja rregullimet i përkasin ndërfaqes, prandaj zhduken bashkë me të. Tilda është pjesa që njerëzit e lënë jashtë, dhe pa të emrat e shkurtër fillojnë të zgjidhen përmes zgjidhësit të punës.

Mos e instaloni të njëjtin domen edhe si prapashtesë kërkimi globale. Të dyja rregullimet nuk janë të tepërta; njëri rrugëton dhe tjetri rishkruan atë që shtypët.

Windows kërkon një politikë të hapësirës së emrave, jo një prapashtesë

Windows e mban politikën e DNS-së së ndarë në Name Resolution Policy Table, jo në prapashtesën DNS të përshtatësit. Një rregull harton një hapësirë emrash në serverë të caktuar: Add-DnsClientNrptRule -Namespace .corp.example -NameServers 10.8.0.1. Vendosja vetëm e prapashtesës ndryshon pamjen e emrave të shkurtër; nuk e drejton pyetjen te një server tjetër.

Kontrolloni politikën efektive me Get-DnsClientNrptPolicy pas lidhjes, sepse një rregull nga një lidhje e mëparshme mund t'i mbijetojë tunelit. Hiqni rregullat sipas emrit kur tuneli bie, dhe mbani emrin e shfaqjes të qëndrueshëm që pastrimi të godasë hyrjen e duhur.

Një pronar i zgjidhësit për çdo platformë

Një menaxher desktopi, një skript up i OpenVPN dhe një demon zgjidhësi lokal mund të provojnë të gjithë të shkruajnë të njëjtin konfigurim. Kur nuk bien dakord, fiton shkruesi i fundit dhe rezultati varet nga rendi i çmontimit. Zgjidhni një komponent që zotëron gjendjen e zgjidhësit, lërini të tjerët të raportojnë në vend që të shkruajnë, dhe provoni një rilidhje: politika duhet t'i mbijetojë pa dubluar rregullat. Provoni edhe një shkëputje, sepse është gjendja e mbetur ajo që e bën lidhjen tjetër të sillet ndryshe.

Aplikacionet që sjellin zgjidhësin e tyre të kriptuar e injorojnë plotësisht politikën e sistemit operativ. Kjo është një veti e aplikacionit, jo një defekt në tunel.

Verifikoni rezultatin, jo tekstin e profilit

Zgjidhni një emër që duhet të kalojë përmes tunelit dhe një që nuk duhet, në çdo platformë, dhe konfirmoni cili server u përgjigj. resolvectl query host.corp.example dhe Resolve-DnsName host.corp.example të dy raportojnë serverin që u përgjigj. Përsëriteni pas një rilidhjeje. Pastaj konfirmoni se zgjidhësi i tunelit është i arritshëm në adresën që shtyn profili, sepse një politikë e saktë që tregon një server të paarritshëm dështon njësoj si asnjë politikë.

Regjistroni sjelljen e synuar në shënimet e profilit: cila prapashtesë rrugëton, cili server i përgjigjet asaj dhe çfarë ndodh me gjithçka tjetër. Platforma tjetër që do të mbështesni do t'i ketë më shumë nevojë për atë fjali sesa për skedarin e konfigurimit.