OpenVPN шаље DNS, али ваш резолвер можда то никада неће видети

Дневник клијента приказује послати DNS сервер, тунел је повезан, а интерно име се ипак не разрешава. У самом слању ништа није покварено. Опција је стигла, а резолвер оперативног система је никада није искористио, јер на већини Unix клијената OpenVPN предаје вредност и оставља апликацију платформи.

Симптом: дневник показује DNS, а имена и даље не раде

OpenVPN dhcp-option носи DNS и информације о домену, а клијент бележи шта је примио. У неким имплементацијама клијент те поставке примењује унутра; у другима их извози за интеграциону скрипту или мрежну службу. Ред у дневнику описује само прву половину приче. Друга половина се дешава тамо где клијент не управља. Ту обично живи квар.

Зато се повезан тунел и неуспешно интерно име тако често јављају заједно. Вредност постоји, потрошач недостаје или је погрешно конфигурисан, а резолвер тихо наставља да користи јавни сервер који је користио пре везе.

Примљено не значи примењено

Клијент може да забележи послату DNS вредност док системски резолвер и даље припада другој служби. Прегледач може имати и сопствену политику шифрованог DNS-а која потпуно заобилази системски резолвер, што ствара памтљиву ситуацију у којој једна апликација разрешава интерна имена, а друга не.

Проверите подржану интеграцију имплементације, уместо да претпоставите да сваки Unix клијент преписује исти фајл. Управо та претпоставка је разлог зашто људи уређују конфигурацију резолвера коју ништа не чита.

Пронађите власника резолвера по платформи

У Windows-у табела политике разрешавања имена може да усмерава одређене суфиксе ка одређеним серверима, а VPN клијент може тамо да инсталира правила. Проверите политику, не само DNS листу адаптера. У Linux-у конфигурацијом може да управља NetworkManager или systemd-resolved, а то која од њих њоме управља одређује шта ће поновно повезивање сачувати.

Прочитајте стварно стање алатом која заиста одговара на упите: resolvectl query internal.example.net на хосту са systemd-resolved, или еквивалентом платформе. Затим упоредите тај одговор са DNS сервером за који дневник клијента тврди да га је послао.

Избегавајте покретање више служби које без координације преписују подешавања резолвера. Два власника дају резултат који изгледа наизменично, и свако поновно повезивање изгледа као да га насумично поправља или квари.

Скрипте и foreign_option

OpenVPN извози послате опције у скрипте преко променљивих названих foreign_option_N, а скрипта може да их преведе у команде резолвера. Тај распоред је подржана интеграција, а не аутоматско понашање, и мора да се инсталира и позове на клијенту.

Ако се ослањате на скрипту, бележите њено извршавање и излазни статус. Скрипта која ради али тихо не успева оставља исти симптом као да нема скрипте, и теже се примећује јер конфигурација изгледа потпуна. Проверите излаз скрипте, не датотеку скрипте. Постојећа датотека није скрипта која је радила.

Тестирајте име, не дневник

Након повезивања питајте клијента за име хоста доступно само изнутра, затим питајте за јавно име, затим проверите који сервер је одговорио. У исправном подешавању два одговора долазе са различитих места, и оба треба да се поклопе са дизајном.

Ако се име разреши али служба не успе, пређите на рутирање и приступ апликацијама уместо да поново мењате DNS. Упутство за OpenVPN документује dhcp-option и скриптно окружење; користите га да потврдите шта се очекује да ваши клијент примени пре него што уредите још једну датотеку резолвера.