Qaysi ulanish javob beradi: split-tunnel VPN DNS uchun marshrutlash domenlari

Oddiy ko‘rishni mahalliy ulanishda qoldiring, kompaniya nomlari esa tunnel taqdim etadigan DNS server orqali hal qilinsin. VPN ning standart marshrutini o‘chirish sizga birinchi yarmini beradi, ikkinchi yarmini esa qurilmagan holda qoldiradi. Keyin yetishmayotgan sozlama, uning ma’nosini o‘zgartiruvchi tinish belgisi va qaysi ulanish haqiqatan javob berganini ko‘rsatuvchi yagona buyruq keladi. Butun matnda NetworkManager va systemd-resolved nazarda tutiladi, chunki chalkashlik odatda shu juftlikdan boshlanadi.

Birinchi qadam: marshrutni hal qiluvchidan ajrating

ipv4.never-default marshrutlash savoliga javob beradi va NetworkManager ga bu ulanishni butun IPv4 trafigi yo‘li sifatida o‘rnatishga yo‘l qo‘ymaydi. DNS marshrutlash domeni boshqa savolga javob beradi: mos keluvchi suffiks uchun so‘rovni qaysi ulanishning nom serverlari oladi. Hech biri ikkinchisini talab qilmaydi va profil yillar davomida birini olib yurib, ikkinchisi yetishmasligi mumkin. Faqat marshrut degani tunnel kompaniya quyi tarmoqlarini olib yurishi va uning hal qiluvchisi kompaniya nomlariga javob berishi, qolgan hamma narsa esa tegilmagan holda qolishidir.

Faqat marshrut xususiyatini o‘rnating, ichki nomlar muvaffaqiyatsiz bo‘ladi, odatda buzilgan tunnelga o‘xshaydigan vaqt tugashi bilan. Faqat domenni o‘rnating, mashinadagi har bir qisqa nomga jimgina qidiruv suffiksini qo‘shib qo‘yasiz. Ikkala xato ham chiptani VPN serveriga yuboradi, u kamdan-kam xato qism bo‘ladi.

Ikkinchi qadam: profilga faqat-marshrutlash domenini qo‘shing

Ulanish corp-vpn deb ataladi, kompaniya suffiksi internal.example va tunnel hal qiluvchisi allaqachon yetib boriladigan deb faraz qiling. Avval joriy qiymatlarni o‘qing, chunki quyidagi buyruqlar allaqachon yozuvlari bo‘lishi mumkin bo‘lgan xossalarni o‘zgartiradi.

nmcli connection show corp-vpn | grep -E 'dns-search|never-default'
nmcli connection modify corp-vpn +ipv4.dns-search '~internal.example'
nmcli connection modify corp-vpn ipv4.never-default yes

O‘z ulanish nomingiz va suffiksingiz bilan almashtiring, chunki yuqoridagi qiymatlar misoldir. Qo‘shish belgisi ko‘ringanidan muhimroq: u bilan qiymat mavjud ro‘yxatga qo‘shiladi, usiz esa xossa almashtiriladi va kechagi ishlagan profildan aloqasiz domenlar yo‘qoladi. Tilde uslubni emas, xatti-harakatni o‘zgartiradi va quyidagi paragraf u nimani tanlashini tushuntiradi. Yozishdan oldin o‘qishni saqlang, almashtirish shakli sizni hech qachon hayratga solmasin.

Boshidagi tilde faqat-marshrutlash domenini belgilaydi, shuning uchun mos keluvchi so‘rovlar shu ulanish serverlariga boradi va suffiks qisqa nomlarga qo‘shilmaydi. Tildeni olib tashlang, xuddi shu satr qidiruv suffiksi ham bo‘ladi, bu odamlar kamdan-kam ko‘zlaydigan boshqa natija. Yuqoridagi ikkala sozlama ham IPv4, shuning uchun ikki stekli profilga ipv6.never-default va ipv6.dns-search ichida xuddi shu marshrutlash domeni kerak, aks holda IPv6 tomoni standart marshrutni ishlatishda davom etadi va u yerda ichki nomlar muvaffaqiyatsiz bo‘ladi.

Uchinchi qadam: resolvectl dan qaysi ulanish javob berganini so‘rang

resolvectl status ni ishga tushiring va har bir ulanishning DNS serverlari va domenlarini o‘qing, keyin so‘rashga ruxsat berilgan haqiqiy ichki nomga qarshi resolvectl query host.internal.example ni ishga tushiring. Ikkinchi buyruq marshrutlash domeni o‘z ishini qilayotganining yagona bevosita dalilidir, chunki u javob bergan ulanishni nomlaydi. Faqat holat ro‘yxati konfiguratsiyani isbotlaydi; so‘rov hal qilishni isbotlaydi.

systemd-resolved eng yaxshi mos keluvchi marshrutlash domenini tanlaydi, shuning uchun boshqa ulanishdagi aniqroq domen poygani baribir yutishi mumkin. So‘rov kutmagan ulanishdan qaytsa, VPN ning DNS serveriga tegishdan oldin domen ro‘yxatlarini o‘qing. ~. ildiz domeni hamma narsaga mos keladi va agar u allaqachon mavjud bo‘lsa, sizning aniq domeningiz o‘z nomlari uchun baribir yutadi, ulanish esa siz so‘raganingizdan ancha ko‘p narsaga javob beradi. Maqsad faqat kompaniya nomlari bo‘lganda o‘sha ildiz yozuvini olib tashlang yoki toraytiring.

Agar VPN ulanishi umuman DNS serverini sanab o‘tmasa, mijoz hech qachon bittasini ro‘yxatdan o‘tkazmagan. Orqasida server bo‘lmagan marshrutlash domeni yetishmayotgan domenidan boshqacha muvaffaqiyatsiz bo‘ladi, shuning uchun avval ro‘yxatdan o‘tkazishni tuzating.

To‘rtinchi qadam: nom hal bo‘lganda, xizmat esa yo‘q

To‘g‘ri javob faqat hal qilish ishlaganini isbotlaydi va ilova hali ham olgan manziliga marshrutga muhtoj. Bu marshrut hozir sozlangan bo‘lingan standartdan o‘tishi kerak, shuning uchun DNS ni yana ayblashdan oldin uni tekshiring. Keyin xizmat portida yetib borishni tekshiring, chunki fayl almashish yoki katalog xizmati hal qilishda, marshrutlashda yoki autentifikatsiyada muvaffaqiyatsiz bo‘ladi va har holatda juda o‘xshash xabarlar beradi. Natijani xabar qilganda bu uch qatlamni alohida tuting, aks holda keyingi odam allaqachon to‘g‘ri bo‘lgan DNS ni qayta tekshiradi.

Bu savol bilan birga aylanayotgan Samba o‘zgarishi kirish qatlamiga tegishli, DNS tanloviga emas. Uni nom hal qilish nosozligiga qo‘llash kichik muammoning ikkinchisini olish yo‘lidir.

Beshinchi qadam: yetishmayotgan domenni tuzatish uchun hal qiluvchini almashtirmang

Hal qiluvchi faylini ustidan yozadigan yoki boshqa hal qiluvchi menejerini o‘rnatadigan maslahat boshqa muammoni hal qiladi. Bular o‘z nosozlik rejimlariga ega tizim integratsiyasi o‘zgarishlari va ularning hech biri hech qachon sozlanmagan marshrutlash domenini qo‘shmaydi. Almashtirishdan oldin mashinada nom hal qilish qaysi komponentga tegishli ekanini aniqlang, chunki systemd-resolved bilan NetworkManager ish stolida bu egalik allaqachon belgilangan. Unga qarshi kurashish ishlayotgan sozlamani hech kim takrorlay olmaydigan narsaga aylantirish yo‘lidir.

Ish tartibi: tunnel hal qiluvchi taqdim etishini tasdiqlang, faqat-marshrutlash domenini qo‘shing, profil boshqaruvlari orqali qayta ulaning, javob bergan ulanishni tekshiring, keyin xizmatni o‘z portida sinab ko‘ring. Bu ketma-ketlik ikkinchi suhbat bo‘lmasdan keyingi odamga topshirish mumkin bo‘lgan natija qoldiradi.