DNS ya VPN inachukua kila utafutaji: rekebisha dns-priority kwenye NetworkManager

Unganisha VPN ya ofisi na ghafla kila utafutaji wa jina unaenda kwa resolver ya kampuni. Majina ya umma bado yanatatuliwa, kwa hivyo hakuna kinachoonekana kuvunjika hadi jina la printa ya ndani lishindwe au rekodi ya split-horizon irudishe anwani ya ofisi. Katika baadhi ya usanidi wa Fedora kinyume chake hutokea: resolver ya mtoa huduma inaendelea kujibu baada ya handaki kuinuka. Yote mawili ni swali moja — ni resolver gani inayomiliki swali hili — na katika mifumo ya NetworkManager jibu linaishi katika sifa za DNS za kila muunganisho.

Miunganisho miwili, resolver mmoja anayeshinda

Kila muunganisho unatangaza kipaumbele cha DNS. Miunganisho ya kawaida kwa chaguo-msingi ni 50 na ya VPN ni 0, na thamani ndogo inashinda. Hiyo chaguo-msingi ndiyo sababu muunganisho wa VPN unapita kimya kiungo cha waya kwa kila kikoa kinachodai: sifuri inashinda hamsini bila mtu yeyote kuichagua.

Kipaumbele hupanga wagombea. Hakizuii kuulizwa nini kwa mshindi. Muunganisho wa VPN usio na kikoa cha utafutaji unadai kila kitu, kwa hivyo kuupendelea pia hutuma maulizo ya umma ndani ya handaki na, katika muundo wa handaki lililogawanywa, mahali resolver ya kampuni inaelekeza.

Kipaumbele huamua mpangilio, orodha ya utafutaji huamua umiliki

nmcli -f connection.id,ipv4.dns,ipv4.dns-search,ipv4.dns-priority con show "Corp VPN"
resolvectl status
readlink -f /etc/resolv.conf

Orodha ya utafutaji ni tamko la umiliki. Kikoa kitupu kama corp.example kinakuwa kiambishi cha utafutaji na kikoa cha uelekezaji. Umbo la uelekezaji pekee ~corp.example hutuma utafutaji chini ya kiambishi hicho kwa muunganisho huu bila kuongeza kikoa kwa majina mafupi. Tilde hiyo ni tofauti kati ya «uliza seva hii» na «uliza seva hii na umalize kuandika kwangu».

Tumia maumbo yote mawili wakati watumiaji wanaandika majina mafupi ya mwenyeji na rekodi pia zinaelekezwa kwa majina yaliyohitimu kikamilifu. Tumia umbo la uelekezaji pekee unapotaka mgawanyiko bila kubadilisha jinsi resolver inavyokamilisha jina kitupu.

Kisha fanya upendeleo uwe wazi na uwashe tena:

nmcli con modify "Corp VPN" ipv4.dns-priority -100
nmcli con modify "Corp VPN" ipv6.dns-priority -100
nmcli con modify "Corp VPN" ipv4.dns-search "~corp.example,corp.example"
nmcli con up "Corp VPN"

Kipaumbele hasi ni njia iliyoandikwa ya kusema «pendelea muunganisho huu», na kuweka familia zote mbili za anwani huweka tabia sawa kwenye mwenyeji aliye na muunganisho wa IPv6. Kubadilisha sifa bila kuwasha tena muunganisho hakubadilishi chochote kinachoendeshwa sasa, ndiyo sababu mfululizo unaishia na up wazi.

Acha systemd-resolved ishike mgawanyiko

Programu-jalizi ya dnsmasq ya chaguo-msingi huvuta maulizo kwenye resolver moja ya ndani, kwa hivyo utengano kwa kila kiungo unabaki mgumu. systemd-resolved huonyesha mgawanyiko kwa kila kiungo, na resolvectl query hutaja kiungo kilichojibu.

systemctl enable --now systemd-resolved
ln -sf /run/systemd/resolve/stub-resolv.conf /etc/resolv.conf
systemctl restart systemd-resolved NetworkManager
resolvectl query build.corp.example

Baada ya hapo kiungo cha kampuni hubeba corp.example na resolver ya umma huhudumia kilichobaki. Utafutaji unapofika kwenye kiungo kisichofaa, amri hutaja kiungo kilichoujibu, na kujua hilo ni bora kuliko kujua anwani pekee.

Oanisha muundo wa DNS na aina ya handaki

Miundo ya faragha inayotuma kila kitu kupitia handaki haipaswi kuwa na orodha ya mgawanyiko, kwa sababu ingerudisha majina ya umma kwa resolver ya ndani na kubatilisha nia. Miundo ya handaki lililogawanywa inahitaji moja: bila hiyo resolver ya kampuni huona kila ulizo la umma, na usanidi huvunjika pale handaki linapoanguka.

Kisha kuna kill switch inayozuia DNS nje ya handaki. Majina yanatatuliwa kwa kanda za handaki na kushindwa kila mahali pengine wakati muunganisho ukiwa mzima kabisa. Majibu yanayowezekana ni idhini ya wazi kwa resolver ya LAN au akiba ya ndani inayosambaza kanda ya kampuni pekee, na yote mawili ni ubaguzi wenye mmiliki badala ya kasoro ndani ya handaki.

Wasifu unaoandika upya usanidi wa resolver wakati kiolesura kinaanza hufanya vivyo hivyo: mara resolver ya ndani isipofikiwa, majina yanayojulikana na handaki pekee yatatatuliwa. Utaratibu wowote unaotumika, andika ni majina gani yanapaswa kufanya kazi katika kila hali, na upe orodha hiyo kwa anayeshughulikia ripoti.

Thibitisha kwa kila kiungo, kisha tena baada ya kuunganisha upya

Uliza jina moja la ndani na moja la umma, na tazama ulizo linaenda wapi kwa kweli. Ukurasa wa ukaguzi wa uvujaji hukuambia ni resolver gani ilijibu, si kiungo gani mfumo ulichagua, kwa hivyo hausemi chochote kuhusu mpangilio uliouweka hivi punde.

Endesha maulizo mawili tena baada ya kukatisha na kuunganisha upya. Vipaumbele hutumika tena muunganisho unapowashwa, na kiungo cha zamani cha mfano kinaweza kunusurika uboreshaji ambao hakuna anayekumbuka. Unachotaka kuandika mwishoni ni resolver gani inamiliki kiambishi gani, pamoja na ukaguzi ambao bado ni halali kesho.