Име хоста на LAN-у не ради преко VPN-а: суфикс, mDNS или зона?

Поред уређаја, штампач одговара на кратко име, а сервер датотека на надимак. Кроз тунел оба имена истичу, док њихове адресе и даље раде. Рута ради свој посао; пут именовања који је та кратка имена чинио функционалним никада није прешао тунел. Три механизма производе такво понашање и сваки од њих тражи другачију исправку.

Почните тако што ћете утврдити од ког механизма име зависи.

Три врсте имена која се понашају различито

Име са једном ознаком као што је fileserver обично се ослања на DNS суфикс претраге који додаје резолвер. Тај суфикс често долази уз локални DHCP закуп, па удаљени клијент који адресирање добија од VPN-а нема разлога да га зна. Додавање руте не доставља суфикс. Кратко име једноставно престаје постојати као име, иако је адреса иза њега доступна.

Име које се завршава на .local обично се решава путем multicast DNS-а на локалној вези, како описује RFC 6762. Multicast не прелази рутираним тунелом осим ако га нешто намерно не премости или проксира, па име престаје да се решава у тренутку када напустите сегмент.

Потпуно квалификовано име компаније припада интерној зони коју опслужују резолвери организације. Оно ради на даљину када VPN потисне те резолвере и клијент је конфигурисан да их користи. А localhost је посебне намене према RFC 6761: односи се на машину испред вас, никада на удаљену услугу.

Прочитајте резолвер пре него што промените руту

Питајте који је именски сервер одговорио и који је суфикс додат. Исти упит кроз различите резолвере даје различите одговоре, а та разлика је доказ који вам треба.

getent hosts fileserver
getent hosts fileserver.corp.example.com
nslookup fileserver.corp.example.com
dig +search fileserver A
resolvectl query fileserver.corp.example.com
scutil --dns | head -30

Ако се потпуно квалификовани упит решава, а кратки не, квар је у суфиксу, не у серверу. Ако се ниједан не решава, а адреса ради, клијент уопште не користи интерни резолвер. Упоредите листу резолвера са оним што VPN треба да потисне, јер клијент који чува свој локални резолвер за сваки упит никада неће видети интерну зону.

Донесите право име клијенту

Затражите од администратора документовано име за даљински приступ, у целини, и користите га у профилу уместо да погађате суфиксе. Ако имплементација подржава split DNS, конфигуришите да интерну домену решавају интерни сервери, док све остало задржава локални резолвер. Потисните домену претраге кроз VPN конфигурацију тамо где је клијент подржава.

Проверите резултат на клијенту, а не на гејтвеју. Поставка примењена на серверу која никада не стигне до клијента не мења ништа.

Сачувајте идентитет сертификата

Тест заснован на адреси који игнорише грешку сертификата доказује само да се сокет отворио. Сертификат услуге је издат за име и клијент ће с правом наставити да одбија несагласност. Ако сертификат наводи само интерно име, користите то име и поправите решавање, или набавите сертификат који покрива адресу коју намеравате да користите.

Забележите име, резолвер и суфикс који су дали успешну везу. Тај запис штеди следећу особу од понављања заобилазног решења заснованог на адреси које крије прави проблем.