DNS госта у VirtualBox NAT-у се квари када се домаћин прикључи на VPN

На Windows домаћину унутрашње име апликације се разрешава чим се VPN повеже, а унутар госта Ubuntu не. Гост задржава сопствена подешавања резолвера, а NAT адаптер испред њега може да одговори на DNS упите на два различита начина. Упућивање госта на јавни резолвер поново учитава сајтове, али приватна имена остају покварена. Зато се путања резолвера прати пре било какве измене.

Пратите један упит кроз NAT адаптер

Изаберите једно интерно потпуно квалификовано име и једно јавно име као контролу. Са подигнутим тунелом, потврдите на домаћину да се интерно име разрешава и да се апликација иза њега отвара. Затим покрените иста два упита унутар госта и упоредите одговоре, а не алате.

Пре него што наставите, потврдите да је адаптер заиста обичан NAT. Мост-адаптер, именована NAT мрежа и други VPN клијент унутар госта имају сваки своју конфигурацију и своје објашњење. Нагађање у овом тренутку троши остатак истраге.

VBoxManage showvminfo work-ubuntu --machinereadable | grep -i natnet
resolvectl status | head -40
cat /etc/resolv.conf

Прва команда приказује режим адаптера и евентуалну NAT мрежу повезану са њим. Унутар госта Ubuntu друга наводи DNS подешавања по вези, а трећа често открива само локалну stub адресу, што значи да прави upstream стоји негде другде.

Држите разрешавање и доступност одвојено. Гост који прими тачну адресу али не може да отвори везу има проблем са рутирањем, филтрирањем или дозволом услуге, и даље DNS измене га никада неће дотаћи. Тестирајте адресу засебно и запишите која је од двеју ствари заказала.

Прокси режим и режим резолвера домаћина су различити механизми

У прокси режиму NAT мотор прослеђује упите госта DNS серверима које већ познаје. У режиму резолвера домаћина пресреће упит и тражи од оперативног система домаћина да разреши име оним што домаћин управо користи. Само други прати VPN клијента који преписује разрешавање на домаћину када се тунел подигне. Зато две поставке дају различите одговоре на истој машини.

Та разлика је цео проблем у једној реченици. Давање госту листе адреса сервера није исто као тражење од Windows-а да разреши име преко свог конфигурисаног резолвера, а на VPN-у са подељеним DNS-ом два одговора се разликују. Опција адаптера тиче се механизма, не дозволе.

Ниједан режим не даје приступ ничему. Ауторизација живи у VPN политици и у услузи, а упит који ради значи само да је име постало адреса.

Промените адаптер, затим проверите шта гост прима

Прво запишите мрежна и DNS подешавања VM-а, затим искључите машину да бисте уређивали трајну конфигурацију. За VM по имену work-ubuntu чији први адаптер носи NAT, опција по адаптеру се поставља са домаћина док је VM искључен. Затим га поново покрените и прегледајте резултат уместо да верујете излазном статусу.

VBoxManage modifyvm work-ubuntu --natdnshostresolver1 on
VBoxManage showvminfo work-ubuntu --machinereadable | grep -i natdns

Последња цифра бира број адаптера, тако да то није универзална вредност; поставка за адаптер 2 би носила 2 на том месту. Користите VBoxManage бинарни фајл који припада инсталираној верзији VirtualBox-а, јер старији у путањи може да упише поставке које верзија која ради игнорише.

Укључивање прокси опције уместо тога бира други механизам и не даје вам понашање резолвера домаћина. Пошто гост стартује, проверите DNS конфигурацију коју заиста држи, јер закачен резолвер или подешавање шифрованог DNS-а унутар госта држи апликације на другој путањи без обзира на то шта адаптер нуди.

Тестирајте кроз цео животни циклус VPN-а, не само једном

Поновите оба упита у госту, затим отворите праву апликацију и пустите је да провери TLS име домаћина. Тест везе само преко IP-а добро изолује DNS, али то није провера сертификата и не би требало тако да се пријави. Запишите име, адресу и резултат апликације заједно.

Током одобреног прозора, искључите и поново повежите VPN домаћина и поновите тест. Резултат би требало да одговара политици приступа, а то што јавно разрешавање поново ради не говори ништа о томе да ли су приватни упити остали на предвиђеној путањи.

Када режим резолвера домаћина ништа не мења, вратите забележену вредност и задржите запажања. VPN клијент који искључује саобраћај хипервизора, недоступан интерни резолвер и закачена поставка госта захтевају сваки другачију исправку, а премошћавање адаптера мења дизајн мреже уместо да ресетује DNS.