ชื่อโฮสต์ใน LAN ใช้ไม่ได้ผ่าน VPN: ซับฟิกซ์, mDNS หรือโซน?

ข้างอุปกรณ์ เครื่องพิมพ์ตอบสนองต่อชื่อสั้นและไฟล์เซิร์ฟเวอร์ตอบสนองต่อชื่อเล่น ผ่านอุโมงค์ ชื่อทั้งสองหมดเวลาในขณะที่ที่อยู่ยังใช้งานได้ เส้นทางกำลังทำหน้าที่ของมัน เส้นทางการตั้งชื่อที่ทำให้ชื่อสั้นเหล่านั้นใช้งานได้ไม่เคยข้ามอุโมงค์เลย กลไกสามอย่างสร้างพฤติกรรมนี้ และแต่ละอย่างต้องแก้ไขต่างกัน

เริ่มจากการระบุว่าชื่อพึ่งกลไกใด

ชื่อสามชนิดที่ทำงานต่างกัน

ชื่อป้ายเดียวอย่าง fileserver มักพึ่งซับฟิกซ์ค้นหา DNS ที่ตัวแปลงสัญญาณเพิ่มให้ ซับฟิกซ์นั้นมักมาพร้อมสัญญาเช่า DHCP ภายใน ดังนั้นไคลเอนต์ระยะไกลที่ได้ที่อยู่จาก VPN จึงไม่มีเหตุผลจะรู้จักมัน การเพิ่มเส้นทางไม่ได้ส่งซับฟิกซ์ ชื่อสั้นก็เลิกมีอยู่เป็นชื่อ แม้ที่อยู่เบื้องหลังจะเข้าถึงได้

ชื่อที่ลงท้ายด้วย .local มัก ถูกแก้ด้วย DNS มัลติแคสต์บนลิงก์ภายใน ตามที่ RFC 6762 อธิบาย มัลติแคสต์ไม่ข้ามอุโมงค์ที่กำหนดเส้นทาง เว้นแต่มีบางสิ่งจงใจเชื่อมหรือพร็อกซีให้ ดังนั้นชื่อจึงเลิกแก้ทันทีที่คุณออกจากเซกเมนต์

ชื่อบริษัทแบบเต็มรูปแบบเป็นของ โซนภายในที่ให้บริการโดยตัวแปลงสัญญาณขององค์กร ชื่อนั้นทำงานจากระยะไกลเมื่อ VPN ผลักดันตัวแปลงสัญญาณเหล่านั้นและไคลเอนต์ได้รับการกำหนดค่าให้ใช้ และ localhost เป็นการใช้งานพิเศษตาม RFC 6761 โดยอ้างถึงเครื่องที่อยู่ตรงหน้าคุณ ไม่เคยอ้างถึงบริการระยะไกล

อ่านตัวแปลงสัญญาณก่อนเปลี่ยนเส้นทาง

ถามว่าเซิร์ฟเวอร์ชื่อใดตอบและซับฟิกซ์ใดถูกเพิ่ม คำถามเดียวกันผ่านตัวแปลงสัญญาณต่างกันให้คำตอบต่างกัน และความแตกต่างนั้นคือหลักฐานที่คุณต้องการ

getent hosts fileserver
getent hosts fileserver.corp.example.com
nslookup fileserver.corp.example.com
dig +search fileserver A
resolvectl query fileserver.corp.example.com
scutil --dns | head -30

ถ้าคำถามแบบเต็มแก้ได้แต่คำถามสั้นแก้ไม่ได้ ความล้มเหลวอยู่ที่ซับฟิกซ์ ไม่ใช่เซิร์ฟเวอร์ ถ้าทั้งสองแก้ไม่ได้และที่อยู่ใช้งานได้ แสดงว่าไคลเอนต์ไม่ได้ใช้ตัวแปลงสัญญาณภายในเลย เปรียบเทียบรายการตัวแปลงสัญญาณกับสิ่งที่ VPN ควรผลักดัน เพราะไคลเอนต์ที่เก็บตัวแปลงสัญญาณภายในไว้สำหรับทุกคำถามจะไม่เห็นโซนภายในเลย

นำชื่อที่ถูกต้องมาสู่ไคลเอนต์

ขอชื่อการเข้าถึงระยะไกลที่จัดทำเอกสารไว้จากผู้ดูแลระบบแบบเต็ม และใช้ในโปรไฟล์แทนการเดาซับฟิกซ์ หากการติดตั้งรองรับ split DNS ให้กำหนดค่าโดเมนภายในให้แก้โดยเซิร์ฟเวอร์ภายใน ขณะที่อย่างอื่นยังใช้ตัวแปลงสัญญาณภายใน ผลักดันโดเมนค้นหาผ่านการกำหนดค่า VPN ในที่ที่ไคลเอนต์รองรับ

ตรวจสอบผลลัพธ์ที่ไคลเอนต์ไม่ใช่ที่เกตเวย์ การตั้งค่าที่ใช้บนเซิร์ฟเวอร์และไม่ถึงไคลเอนต์เลยไม่เปลี่ยนอะไร

รักษาตัวตนของใบรับรองไว้

การทดสอบตามที่อยู่ที่เพิกเฉยต่อข้อผิดพลาดของใบรับรองพิสูจน์เพียงว่าเปิดซ็อกเก็ตได้ ใบรับรองของบริการออกให้สำหรับชื่อ และไคลเอนต์จะยังปฏิเสธความไม่ตรงกันด้วยเหตุผลที่ชอบธรรม หากใบรับรองระบุเฉพาะชื่อภายใน ให้ใช้ชื่อนั้นและแก้การแปลง หรือขอใบรับรองที่ครอบคลุมที่อยู่ที่คุณตั้งใจจะใช้

บันทึกชื่อ ตัวแปลงสัญญาณ และซับฟิกซ์ที่ทำให้เชื่อมต่อสำเร็จ บันทึกนั้นช่วยให้คนถัดไปไม่ต้องทำวิธีเลี่ยงตามที่อยู่ซ้ำ ซึ่งซ่อนปัญหาจริงไว้