Имена VPN домаћина не раде, IP адресе раде: где тражити

Приступ преко IP-а ради док имена не раде, што упућује на суфиксе и наметнуте резолвере, а не на руте. Прођите адресу, FQDN, кратко име и стари пут.

Можете отворити дељени ресурс по адреси, а исти ресурс по имену не успева, што значи да тунел преноси пакете, а слој имена не. То једно запажање штеди заобилазни пут кроз измене заштитног зида и рута. Именима требају суфикс, резолвер и пут за упит, а VPN клијент може инсталирати руту без инсталирања било чега од тога. Прођите четири провере испод редом и зауставите се на првој која се сломи.

Име поставља питање које адреса не поставља

Адреса је одредиште које стек може одмах да користи. Кратко име је питање које треба проширити суфиксом, послати резолверу и добити одговор од нечега што познаје зону. Тунел који инсталира руте али не резолвер оставља прво исправним, а друго поквареним. Зато симптом изгледа тако доследно код веома различитих VPN производа.

Радите од адресе ка споља: прво пуно име, затим голо име хоста, и забележите које од три ради. Образац вам каже који слој прегледати пре него што отворите и један екран подешавања. Нагађати руте када се пуно име разрешава је узалудан труд.

Прочитајте резолвер који је тунел заиста инсталирао

Питајте оперативни систем који резолвер обрађује упите за интерну зону, а не који оглашава интерфејс VPN клијента. Сервер који намеће јавни резолвер без интерне зоне производи управо овај неуспех, и то је грешка у подешавању, а не квар у рутирању.

resolvectl status
nslookup fileserver.corp.example
nslookup fileserver

На Windows клијенту придруженом домену, политика рутирања простора имена одлучује који упити иду којем резолверу, а сопствена DNS подешавања VPN адаптера појављују се у детаљима адаптера. Читајте важећу политику, а не профил, јер кеширана политика може надживети везу која ју је инсталирала. Ако резолвер одговара на пуно име, а не на кратко, проблем се већ преселио на листу суфикса.

Get-DnsClientNrptPolicy
ipconfig /all

Зауставите се ако се интерна зона разрешава преко правог сервера. Резолвер није ваш проблем.

Суфикси објашњавају кратка имена која не раде

Име са једном ознаком проширује се листом суфикса везе пре него што се упит пошаље. Ако VPN не достави интерни суфикс, fileserver никада не постаје fileserver.corp.example, а упит излази као име које ниједан јавни резолвер не познаје. Наметање суфикса, или куцање пуног имена, тестира хипотезу без промене било чега на серверу.

nslookup fileserver.corp.example
ping -a 192.168.50.20

На Linux-у резолверска услуга везује DNS сервер за линк и скуп рутинг домена, па се наметнути сервер који није повезан са линком тунела понаша као да га нема. Проверите стање по линку, а не stub датотеку, која може показивати само на локални резолвер. Иста подела се појављује и у другом смеру: домен претраге који постоји али није примењен на интерфејс тунела производи отказе кратких имена који изгледају случајно.

Ако додавање суфикса то поправи, преостаје да тај суфикс доставите кроз VPN профил, уместо да тражите од сваког корисника да га откуца.

NetBIOS и WINS су други механизам

Стари SMB још може тражити голо име помоћу NetBIOS именске услуге, која одговара емитовањем или преко WINS сервера. Емитовање остаје унутар једне емитоване домене и зауставља се на првом рутеру, па не може прећи тунел; WINS ради јер клијент има unicast адресу на коју се региструје и коју пита. Зато VPN који носи само IP још може подржавати стара имена када је WINS конфигурисан и доступан.

nbtstat -n
nbtstat -R

За савремени SMB ослоните се на DNS и пуно име и пензионишите стари пут. Ако је заиста стар, обезбедите WINS или замените апликацију; средина је ред подршке који се никада не празни.

Шетња се завршава када можете да кажете који је слој заказао: резолвер, суфикс или старо откривање. Забележите резолвер који је одговорио и облик имена који је успео, јер следећа особа креће од истог симптома.

Повезани чланци