ไฟล์ resolver ของ macOS สำหรับโดเมนภายในเครื่องข้าง VPN

VPN ที่ใช้ทำงานแปลงชื่อบริษัทได้อย่างสมบูรณ์ ในขณะที่เครื่องพิมพ์ที่บ้านยังคงเข้าถึงไม่ได้ด้วยชื่อ และวิธีแก้ที่คนมักใช้คือชี้ Mac ทั้งเครื่องไปที่เราเตอร์ที่บ้าน นั่นเป็นการเปลี่ยนแปลงที่ใหญ่กว่าที่ปัญหาต้องการมาก macOS สามารถส่ง DNS ซัฟฟิกซ์เดียวไปยังเซิร์ฟเวอร์ของตัวเองผ่านไฟล์ resolver ขนาดเล็ก และปล่อยให้การค้นหาอื่นทุกอย่างอยู่ที่เดิม

ขอบเขตสิทธิ์มาก่อน นี่สำหรับโดเมนที่คุณดูแลหรือได้รับอนุญาตให้กำหนดค่า ไม่ใช่วิธีหลีกเลี่ยงนโยบาย DNS ที่องค์กรบังคับใช้หรือข้อจำกัดเครือข่ายภายในขององค์กร

ไฟล์เดียวที่มีงานแคบ ๆ

สมมติว่าโซนภายในคือ lab.example.org และเซิร์ฟเวอร์ตอบที่ 192.168.55.1 บน Mac ที่คุณได้รับอนุญาตให้เปลี่ยนแปลง ผู้ดูแลระบบจะสร้างไฟล์ข้อความธรรมดาที่มีชื่อเป็นโดเมนนั้นเอง คือ /etc/resolver/lab.example.org ซึ่งมีเพียงบรรทัด nameserver 192.168.55.1 บรรทัดเดียว ไดเรกทอรีนี้อาจไม่มีอยู่ในระบบใหม่ จึงต้องสร้างด้วยสิทธิ์ผู้ดูแลระบบ และตรวจดูก่อนเขียนในกรณีที่ซอฟต์แวร์จัดการมีไฟล์อยู่ที่นั่นแล้ว

เอกสารการกำหนดค่า resolver ของ Apple อธิบายธรรมเนียมที่ชื่อไฟล์เป็นตัวให้โดเมนเมื่อไม่มีการตั้งค่าโดเมนแยกต่างหากภายในไฟล์ กฎการตั้งชื่อนั้นคือกลเม็ดทั้งหมด และนั่นคือเหตุผลที่ไฟล์ต้องตั้งชื่อตามโซนไม่ใช่ตามเซิร์ฟเวอร์

macOS เลือก resolver อย่างไร

ไคลเอนต์ resolver มากกว่าหนึ่งตัวสามารถทำงานอยู่ได้ และโดเมนที่ตรงกันอย่างเฉพาะเจาะจงที่สุดจะเป็นผู้ชนะ resolver สำหรับ lab.example.org จึงมีขอบเขตต่างจาก resolver เริ่มต้น และโดเมนย่อยที่เฉพาะเจาะจงกว่าซึ่งมีไฟล์ของตัวเองก็สามารถได้ลำดับความสำคัญอีกครั้ง นี่คือสิ่งที่ทำให้ VPN ที่ใช้ทำงานเก็บซัฟฟิกซ์ของตัวเองไว้ได้ในขณะที่โซนแล็บของคุณไปที่อื่น ไม่มีอะไรในโครงสร้างนี้ที่เป็นระดับโลก และนั่นคือประเด็นที่ควรจดจำ

ปล่อย /etc/resolv.conf ไว้ตามเดิม macOS เขียนไฟล์นั้นเอง และไฟล์นั้นไม่เคยมีภาพรวมทั้งหมดของการแปลงชื่อเฉพาะโดเมน การกำหนดค่าอาจมาจากฐานข้อมูลการกำหนดค่าของระบบแทนไฟล์ในไดเรกทอรีนี้ และนั่นคือเหตุผลที่โปรไฟล์การจัดการสามารถเขียนทับสิ่งที่คุณเขียนได้

สามสิ่งนี้ไฟล์ให้ไม่ได้

เซิร์ฟเวอร์ต้องเข้าถึงได้ หาก VPN บล็อกเครือข่ายภายใน หรือเส้นทางขององค์กรดักช่วงที่อยู่ของเซิร์ฟเวอร์ ไฟล์ซัฟฟิกซ์ที่ถูกต้องสมบูรณ์ก็ยังส่งคำถามไม่ได้ ให้แจ้งเจ้าของเครือข่ายแทนการขยายข้อยกเว้นภายในด้วยตัวเอง

โซนต้องมีคำตอบที่ถูกต้อง และทดสอบได้ดีที่สุดด้วยชื่อเต็มที่สมบูรณ์ เช่น printer.lab.example.org ชื่อสั้นอาจกระตุ้นพฤติกรรมโดเมนค้นหาและจบลงด้วยการถามคำถามที่ต่างจากที่คุณตั้งใจ

สุดท้าย แอปพลิเคชันต้องสามารถใช้คำตอบนั้นได้ การแปลงชื่อเครื่องพิมพ์ไม่ได้ให้สิทธิ์เข้าถึงที่อยู่ของมัน และไม่ได้เปิดบริการที่อยู่เบื้องหลัง ที่อยู่ที่ได้ยังต้องมีเส้นทางที่อนุญาตและนโยบายการเข้าถึงที่ยอมให้เชื่อมต่อ ไฟล์ resolver เปลี่ยนสถานที่ที่ค้นหาชื่อ แต่ไม่ได้จองเส้นทางสำหรับผลลัพธ์

ตรวจสอบการเลือกแทนการเปลี่ยน DNS

ตรวจสอบว่า macOS กำลังใช้อะไรจริงในขณะนี้ และสอบถามชื่อเต็มที่สมบูรณ์จากภายในแอปพลิเคชันเองหรือจากเครื่องมือที่แปลงชื่อเหมือนที่แอปพลิเคชันทำ การสอบถามโดยตรงไปที่ 192.168.55.1 พิสูจน์ว่าเซิร์ฟเวอร์ตอบ แต่ไม่ได้พิสูจน์ว่า macOS เลือกเซิร์ฟเวอร์นั้นสำหรับการค้นหาปกติ นั่นเป็นข้อเท็จจริงที่ต่างกัน และมีเพียงข้อที่สองที่อธิบายสิ่งที่เบราว์เซอร์ของคุณจะพบ

หาก resolver อื่นอ้างสิทธิ์ซัฟฟิกซ์เดียวกันอยู่แล้ว ให้ค้นหาว่าใครเป็นเจ้าของก่อนเพิ่มคำใบ้ลำดับความสำคัญ การตั้งค่า search_order ที่มีเอกสารกำกับจัดลำดับไคลเอนต์ที่ใช้โดเมนร่วมกัน ไม่ใช่สวิตช์การตั้งค่าเริ่มต้นระดับโลกที่ทำให้ resolver ทั่วไปชนะทุกคำถาม

ยืนยันว่าชื่อบริษัทยังแปลงได้เมื่อเชื่อมต่อ VPN แล้ว จากนั้นบันทึกไฟล์และวัตถุประสงค์ไว้ในบันทึกภายในของคุณ เมื่อเลิกใช้โครงสร้างนี้ ให้ลบเฉพาะไฟล์นั้นและตรวจสอบเนมสเปซทั้งสองอีกครั้ง แทนที่จะรีเซ็ตการตั้งค่า DNS ของเครือข่ายทั้งหมด