OpenVPN ustida bo'lingan DNS: marshrutlash domeni har bir tizimda nima qilishi kerak

Har bir bo'lingan DNS so'rovi bir xil jumla bilan boshlanadi: kompaniya nomlari kompaniya DNS'iga ketadi, qolgan hamma narsa ishlashda davom etadi. Bu jumlani konfiguratsiyaga aylantirish har bir operatsion tizim uchun uchta savolga javob berishni anglatadi va javoblar har birida turli mexanizmlardan foydalanadi. Linux noutbukida ishlaydigan profillar Windows'da ko'pincha tunnel bilan hech qanday aloqasi bo'lmagan sabablarga ko'ra ishlamaydi. Bo'shliq odatda yo'l deb xato qilingan resolver sozlamasi.

Avval siyosatni nomlang, keyin uni ifodalovchi platforma primitivini tanlang.

Aralashtirish oson bo'lgan uchta sozlama

Qidiruv qo'shimchasi qisqa nomni kengaytiradi: files deb yozsangiz, u files.corp.example bo'ladi, resolver qo'shimchalarni ketma-ket sinab ko'rganda. Marshrutlash domeni nom maydoni ichidagi so'rovlarga qaysi resolver javob berishini tanlaydi. IP yo'nalishi faqat tanlangan resolverni yetib boradigan qiladi. Bu uchtasi turli qatlamlarda yashaydi va birini boshqasiga almashtirish to'g'ri ko'rinadigan, ammo hech narsani hal qilmaydigan konfiguratsiya beradi.

Chalkashlikning narxi bor: qidiruv qo'shimchasini qo'shish har bir qisqa nomni ish resolveriga yuboradi, boshqa joyga tegishli nomlar ham. Marshrutlash domenini tanlash aloqasiz so'rovlarni mahalliy resolverda ushlab turadi, shu bilan birga *.corp.example manzilini tunnel orqali yuborishda davom etadi.

Linux: faqat marshrutlash domeni, qidiruv qo'shimchasi emas

systemd-resolved'da tilde bilan boshlanadigan domen faqat marshrutlash domeni bo'ladi, ya'ni bu nom maydoni uchun so'rovlar bog'langan resolverga boradi, shu bilan birga qidiruv qo'shimchasiga ham aylanmaydi. resolvectl domain tun0 '~corp.example' buni o'rnatadi va resolvectl dns tun0 10.8.0.1 serverni nomlaydi. Ikkala sozlama ham interfeysga tegishli, shuning uchun u bilan birga yo'qoladi. Tildeni odamlar tushirib qoldiradigan qism, va usiz qisqa nomlar ish resolveri orqali hal qilina boshlaydi.

Xuddi shu domenni global qidiruv qo'shimchasi sifatida ham o'rnatmang. Bu ikki sozlama ortiqcha emas; biri marshrutlaydi, ikkinchisi siz yozgan narsani qayta yozadi.

Windows'ga nom maydoni siyosati kerak, qo'shimcha emas

Windows bo'lingan DNS siyosatini adapterning DNS qo'shimchasida emas, nom hal qilish siyosati jadvalida saqlaydi. Bitta qoida nom maydonini muayyan serverlarga bog'laydi: Add-DnsClientNrptRule -Namespace .corp.example -NameServers 10.8.0.1. Faqat qo'shimchani sozlash qisqa nomlarning ko'rinishini o'zgartiradi; u so'rovni boshqa serverga yo'naltirmaydi.

Ulanganingizdan keyin Get-DnsClientNrptPolicy yordamida amaldagi siyosatni tekshiring, chunki oldingi ulanishdan qolgan qoida tunneldan uzoqroq yashashi mumkin. Tunnel yiqilganda qoidalarni nomi bo'yicha olib tashlang va tozalash to'g'ri yozuvni nishonga olishi uchun ko'rsatiladigan nomni barqaror tuting.

Har bir platformada bitta resolver egasini tuting

Ish stoli menejeri, OpenVPN up skripti va mahalliy resolver demoni bir xil konfiguratsiyani yozishga urinishi mumkin. Ular kelishmasa, oxirgi yozgan yutadi va natija yig'ish tartibiga bog'liq. Resolver holatiga ega bo'ladigan bitta komponentni tanlang, boshqalari yozish o'rniga hisobot bersin va qayta ulanishni sinab ko'ring: siyosat qoidalarni takrorlamasdan uni yengib o'tishi kerak. Uzilishni ham sinab ko'ring, chunki qolgan holat keyingi ulanishning boshqacha ishlashiga sabab bo'ladi.

O'zining shifrlangan resolverini olib keladigan ilovalar operatsion tizim siyosatini butunlay e'tiborsiz qoldiradi. Bu ilovaning xususiyati, tunnelning nuqsoni emas.

Natijani tekshiring, profil matnini emas

Har bir platformada tunneldan o'tishi kerak bo'lgan bitta nomni va o'tmasligi kerak bo'lgan bittasini hal qiling va qaysi server javob berganini tasdiqlang. resolvectl query host.corp.example va Resolve-DnsName host.corp.example ikkalasi ham javob bergan serverni xabar qiladi. Qayta ulangandan keyin takrorlang. So'ngra tunnel resolveri profil yuboradigan manzilda yetib boradigan ekanligini tasdiqlang, chunki yetib bo'lmaydigan serverga ishora qilgan to'g'ri siyosat ham hech qanday siyosat yo'qdek muvaffaqiyatsiz bo'ladi.

Ko'zda tutilgan xatti-harakatni profil izohlarida yozib qo'ying: qaysi qo'shimcha marshrutlaydi, qaysi server unga javob beradi va qolgan hamma narsaga nima bo'ladi. Siz qo'llab-quvvatlaydigan keyingi platforma konfiguratsiya faylidan ko'ra o'sha jumlaga ko'proq muhtoj bo'ladi.