VPN-värdnamn misslyckas, IP-adresser fungerar: var du ska titta

IP-åtkomst fungerar medan namn misslyckas, vilket pekar på suffix och påtvingade resolvers, inte på rutter. Gå igenom adressen, FQDN:en, kortnamnet och den gamla vägen.

Du kan öppna utdelningen via adressen och samma utdelning via namnet misslyckas, vilket betyder att tunneln bär paket och namnlager inte. Den enda observationen sparar en omväg genom ändringar i brandväggen och rutterna. Namn behöver ett suffix, en resolver och en väg för frågan, och en VPN-klient kan installera en rutt utan att installera någon av dem. Gå igenom de fyra kontrollerna nedan i ordning och stanna vid den första som brister.

Ett namn ställer en fråga som en adress inte ställer

En adress är ett mål som stacken kan använda direkt. Ett kortnamn är en fråga som måste utökas med ett suffix, skickas till en resolver och besvaras av något som känner till zonen. En tunnel som installerar rutter men ingen resolver lämnar det första fungerande och det andra trasigt. Därför ser symtomet så konsekvent ut över mycket olika VPN-produkter.

Arbeta utåt från adressen: först det fullständiga namnet, sedan det nakna värdnamnet, och notera vilket av de tre som fungerar. Mönstret säger vilket lager du ska undersöka innan du öppnar en enda konfigurationsskärm. Att gissa på rutter när FQDN:en löses upp är bortkastat arbete.

Läs resolvern som tunneln faktiskt installerade

Fråga operativsystemet vilken resolver som hanterar frågor för den interna zonen, inte vilken VPN-klientens gränssnitt annonserar. En server som skjuter ut en offentlig resolver utan intern zon ger exakt detta fel, och det är ett konfigurationsfel och inte ett routingfel.

resolvectl status
nslookup fileserver.corp.example
nslookup fileserver

På en domänansluten Windows-klient avgör routningspolicyn för namnrymden vilka frågor som går till vilken resolver, och VPN-adapterns egna DNS-inställningar visas i adapterinformationen. Läs den effektiva policyn i stället för profilen, eftersom en cachelagrad policy kan överleva anslutningen som installerade den. Om resolvern svarar på det fullständiga namnet och inte på kortnamnet har problemet redan flyttat till suffixlistan.

Get-DnsClientNrptPolicy
ipconfig /all

Stanna om den interna zonen löses upp via rätt server. Resolvern är inte ditt problem.

Suffix förklarar kortnamn som misslyckas

Ett namn med en enda etikett utökas med anslutningens suffixlista innan frågan skickas. Om VPN:en inte levererar det interna suffixet blir fileserver aldrig fileserver.corp.example, och frågan går ut som ett namn som ingen offentlig resolver känner till. Att skjuta ut suffixet, eller att skriva det fullständiga namnet, testar hypotesen utan att ändra något på servern.

nslookup fileserver.corp.example
ping -a 192.168.50.20

På Linux binder resolvertjänsten en DNS-server till en länk och en uppsättning routningsdomäner, så en påskjuten server som inte är kopplad till tunnelns länk beter sig som om den inte fanns. Kontrollera status per länk i stället för stub-filen, som kanske bara pekar på den lokala resolvern. Samma delning syns i andra riktningen: en sökdomän som finns men inte tillämpas på tunnelns gränssnitt ger kortnamnsfel som ser slumpmässiga ut.

Om tillägget av suffixet åtgärdar det är det återstående arbetet att leverera det suffixet via VPN-profilen i stället för att be varje användare skriva det.

NetBIOS och WINS är en annan mekanism

Gammal SMB kan fortfarande slå upp ett naket namn med NetBIOS-namntjänsten, som svarar via broadcast eller genom en WINS-server. Broadcast stannar inom en broadcastdomän och stannar vid den första routern, så den kan inte nå tvärs över en tunnel; WINS fungerar eftersom klienten har en unicast-adress att registrera sig på och fråga. Därför kan en VPN som bara bär IP fortfarande stödja gamla namn när WINS är konfigurerat och nåbart.

nbtstat -n
nbtstat -R

För modern SMB, lita på DNS och det fullständiga namnet, och pensionera den gamla vägen. Om den verkligen är gammal, tillhandahåll WINS eller byt ut programmet; mellanvägen är en supportkö som aldrig töms.

Genomgången slutar när du kan säga vilket lager som misslyckades: resolver, suffix eller gammal upptäckt. Notera resolvern som svarade och namnformen som fungerade, eftersom nästa person börjar från samma symtom.

Relaterade artiklar