DNS-ja e mysafirit VirtualBox NAT prishet pasi hosti lidhet me një VPN

Në një host Windows emri i brendshëm i aplikacionit zgjidhet sapo lidhet VPN, ndërsa brenda një mysafiri Ubuntu jo. Mysafiri mban cilësimet e veta të zgjidhësit, dhe përshtatësi NAT përpara tij mund t'u përgjigjet pyetjeve DNS në dy mënyra të ndryshme. Drejtimi i mysafirit te një zgjidhës publik i bën faqet të rimbushen, ndërsa emrat privatë mbeten të prishur. Për këtë arsye rruga e zgjidhësit ndiqet përpara se të ndryshohet çdo gjë.

Ndiqni një kërkim përmes përshtatësit NAT

Zgjidhni një emër të brendshëm plotësisht të kualifikuar dhe një emër publik si kontroll. Me tunelin lart, konfirmoni në host se emri i brendshëm zgjidhet dhe se aplikacioni pas tij hapet. Pastaj ekzekutoni të njëjtat dy kërkime brenda mysafirit dhe krahasoni përgjigjet, jo mjetet.

Përpara se të vazhdoni, konfirmoni se përshtatësi është vërtet NAT i thjeshtë. Një përshtatës urë, një rrjet NAT me emër dhe një klient i dytë VPN brenda mysafirit kanë secili konfigurimin dhe shpjegimin e vet. Të hamendësosh në këtë pikë e shpërdoron pjesën tjetër të hetimit.

VBoxManage showvminfo work-ubuntu --machinereadable | grep -i natnet
resolvectl status | head -40
cat /etc/resolv.conf

Komanda e parë shfaq mënyrën e përshtatësit dhe çdo rrjet NAT të lidhur me të. Brenda një mysafiri Ubuntu e dyta liston cilësimet DNS për çdo lidhje, dhe e treta shpesh zbulon vetëm një adresë stub lokale, që do të thotë se upstream-i i vërtetë ndodhet diku tjetër.

Mbajini zgjidhjen dhe arritshmërinë të ndara. Një mysafir që merr adresën e saktë por nuk mund të hapë një lidhje ka një problem rrugëtimi, filtrimi ose leje shërbimi, dhe ndryshimet e mëtejshme të DNS nuk do ta prekin kurrë. Testojeni adresën veçmas dhe shkruani cila nga të dyja dështoi.

Mënyra proxy dhe mënyra e zgjidhësit të hostit janë mekanizma të ndryshëm

Në mënyrën proxy motori NAT përçon pyetjet e mysafirit te serverë DNS që i njeh tashmë. Në mënyrën e zgjidhësit të hostit ai e kap pyetjen dhe i kërkon sistemit operativ të hostit ta zgjidhë emrin me atë që hosti po përdor tani. Vetëm i dyti ndjek një klient VPN që rishkruan zgjidhjen e hostit kur ngrihet tuneli. Për këtë arsye dy cilësimet prodhojnë përgjigje të ndryshme në të njëjtën makinë.

Ky dallim është i gjithë problemi në një fjali. T'i japësh mysafirit një listë adresash serveri nuk është njësoj si t'i kërkosh Windows-it të zgjidhë një emër përmes zgjidhësit të konfiguruar, dhe në një VPN me DNS të ndarë dy përgjigjet ndryshojnë. Opsioni i përshtatësit ka të bëjë me mekanizmin, jo me lejen.

Asnjëra mënyrë nuk jep akses në asgjë. Autorizimi jeton në politikën e VPN dhe në shërbim, dhe një kërkim që funksionon do të thotë vetëm se një emër u bë adresë.

Ndryshoni përshtatësin dhe pastaj verifikoni çfarë merr mysafiri

Fillimisht shënoni cilësimet e rrjetit dhe të DNS të VM-së, pastaj fikeni makinën që të redaktoni konfigurimin e përhershëm. Për një VM të quajtur work-ubuntu, përshtatësi i parë i së cilës mban NAT, opsioni për çdo përshtatës vendoset nga hosti ndërsa VM-ja është e fikur. Pastaj rinisni atë dhe inspektoni rezultatin në vend që t'i besoni statusit të daljes.

VBoxManage modifyvm work-ubuntu --natdnshostresolver1 on
VBoxManage showvminfo work-ubuntu --machinereadable | grep -i natdns

Shifra e fundit zgjedh numrin e përshtatësit, kështu që nuk është vlerë universale; një cilësim për përshtatësin 2 do të mbante një 2 në atë pozicion. Përdorni binarin VBoxManage që i përket versionit të instaluar të VirtualBox, sepse një më i vjetër në shteg mund të shkruajë cilësime që versioni që ekzekutohet i injoron.

Aktivizimi i opsionit proxy në vend të kësaj zgjedh një mekanizëm tjetër dhe nuk ju jep sjelljen e zgjidhësit të hostit. Pasi mysafiri niset, kontrolloni konfigurimin DNS që mban në të vërtetë, sepse një zgjidhës i fiksuar ose një cilësim DNS i kriptuar brenda mysafirit i mban aplikacionet në një rrugë tjetër pavarësisht nga ajo që ofron përshtatësi.

Testoni gjatë gjithë ciklit të jetës së VPN, jo vetëm një herë

Përsëritni të dy kërkimet në mysafir, pastaj hapni aplikacionin e vërtetë dhe lëreni të vërtetojë emrin e hostit TLS. Një test lidhjeje vetëm me IP e izolon mirë DNS-në, por nuk është kontroll certifikate dhe nuk duhet raportuar si i tillë. Shënoni emrin, adresën dhe rezultatin e aplikacionit së bashku.

Gjatë një dritareje të miratuar, shkëputni dhe rilidhni VPN-në e hostit dhe përsëritni testin. Rezultati duhet të përputhet me politikën e aksesit, dhe fakti që zgjidhja publike funksionon përsëri nuk thotë asgjë për atë nëse pyetjet private mbetën në rrugën e synuar.

Kur mënyra e zgjidhësit të hostit nuk ndryshon asgjë, ktheni vlerën e regjistruar dhe mbani vëzhgimet. Një klient VPN që përjashton trafikun e hypervisor-it, një zgjidhës i brendshëm i paarritshëm dhe një cilësim i fiksuar i mysafirit kërkojnë secili një korrigjim të ndryshëm, dhe vendosja e përshtatësit në urë ndryshon projektimin e rrjetit në vend që të rivendosë DNS-në.