Tệp resolver macOS cho một miền cục bộ bên cạnh VPN

VPN công việc của bạn phân giải tên công ty hoàn hảo trong khi máy in ở nhà vẫn không thể truy cập bằng tên, và cách khắc phục thông thường mọi người chọn là trỏ toàn bộ máy Mac đến router ở nhà. Đó là một thay đổi lớn hơn nhiều so với yêu cầu của vấn đề. macOS có thể gửi một hậu tố DNS duy nhất đến máy chủ riêng của nó thông qua một tệp resolver nhỏ, để mọi tra cứu khác y nguyên chỗ cũ.

Ranh giới quyền hạn đến trước: đây là dành cho một miền bạn quản lý hoặc được cho phép cấu hình. Nó không phải là đường vòng qua chính sách DNS do một tổ chức áp đặt hay các hạn chế mạng cục bộ của tổ chức đó.

Một tệp với nhiệm vụ hẹp

Giả sử vùng cục bộ là lab.example.org và máy chủ của nó trả lời tại 192.168.55.1. Trên một máy Mac nơi bạn được phép thực hiện thay đổi, quản trị viên tạo một tệp văn bản thuần có tên chính là miền, /etc/resolver/lab.example.org, chứa một dòng nameserver 192.168.55.1 duy nhất. Thư mục này có thể không tồn tại trên hệ thống mới, nên hãy tạo nó bằng quyền quản trị viên, và xem trước khi ghi phòng khi phần mềm quản lý đã có sẵn một tệp ở đó.

Tài liệu cấu hình resolver của Apple mô tả quy ước rằng tên tệp cung cấp miền khi không có cài đặt miền riêng xuất hiện bên trong tệp. Quy tắc đặt tên đó chính là toàn bộ mẹo, và đó là lý do tệp phải được đặt tên theo vùng chứ không theo máy chủ.

Cách macOS chọn giữa các resolver

Có thể có nhiều hơn một ứng dụng khách resolver đang hoạt động, và miền khớp cụ thể nhất sẽ thắng. Do đó một resolver cho lab.example.org có phạm vi khác với resolver mặc định, và một miền con cụ thể hơn với tệp riêng có thể lại giành được ưu tiên. Đó là điều cho phép VPN công việc giữ hậu tố của riêng nó trong khi vùng lab của bạn đi nơi khác. Không có gì trong cách sắp xếp này là toàn cục, và đó là điểm đáng nhớ.

Hãy để /etc/resolv.conf yên. macOS tự ghi tệp đó, và nó chưa bao giờ chứa bức tranh đầy đủ về phân giải theo miền cụ thể. Cấu hình cũng có thể đến từ cơ sở dữ liệu cấu hình hệ thống thay vì từ các tệp trong thư mục này, và đó là lý do một cấu hình quản lý có thể ghi đè những gì bạn đã viết.

Ba điều tệp không thể cung cấp

Máy chủ phải tiếp cận được. Nếu VPN chặn mạng cục bộ, hoặc một tuyến của công ty bắt lấy dải địa chỉ của máy chủ, thì một tệp hậu tố hoàn toàn đúng vẫn không thể chuyển truy vấn. Hãy đưa việc đó cho chủ sở hữu mạng thay vì tự mở rộng các ngoại lệ cục bộ.

Vùng phải chứa câu trả lời đúng, và cách tốt nhất để kiểm tra là dùng một tên đủ điều kiện hoàn toàn như printer.lab.example.org. Một tên ngắn có thể kích hoạt hành vi miền tìm kiếm và cuối cùng hỏi một câu khác với câu bạn định hỏi.

Cuối cùng, ứng dụng phải có thể dùng câu trả lời đó. Phân giải tên của một máy in không cấp quyền truy cập địa chỉ của nó, và không mở dịch vụ phía sau nó. Địa chỉ trả về vẫn cần một tuyến được phép và một chính sách truy cập cho phép kết nối. Tệp resolver thay đổi nơi một tên được tra cứu; nó không dành sẵn đường đi cho kết quả.

Xác minh lựa chọn thay vì thay thế DNS

Hãy kiểm tra macOS thực sự đang dùng gì ngay lúc này, và truy vấn tên đủ điều kiện hoàn toàn từ bên trong chính ứng dụng hoặc từ một công cụ phân giải giống như ứng dụng. Truy vấn trực tiếp tới 192.168.55.1 chứng minh máy chủ trả lời; nó không chứng minh macOS đã chọn máy chủ đó cho các tra cứu thông thường. Đó là những sự thật khác nhau, và chỉ sự thật thứ hai mô tả điều trình duyệt của bạn sẽ trải nghiệm.

Nếu một resolver khác đã nhận cùng hậu tố, hãy tìm hiểu ai sở hữu nó trước khi thêm gợi ý ưu tiên. Cài đặt search_order được ghi trong tài liệu chỉ sắp xếp các ứng dụng khách chia sẻ một miền; nó không phải công tắc ưu tiên toàn cục khiến một resolver chung thắng mọi truy vấn.

Xác nhận rằng tên công ty vẫn phân giải khi VPN được kết nối, sau đó ghi lại tệp và mục đích của nó vào ghi chú cục bộ của bạn. Khi cách sắp xếp này bị gỡ bỏ, chỉ xóa tệp đó và kiểm tra lại cả hai không gian tên thay vì đặt lại toàn bộ cài đặt DNS của mạng.