Alguns hosts são resolvidos lentamente ou não são resolvidos com dnsmasq

Question

Estou usando VPN corporativa para acessar recursos internos. Após a conexão via cliente VPN da Shrewsoft, esses recursos internos não estavam sendo resolvidos porque o resolv.conf estava sempre com o DNS diferente do configurado para resolver a rede VPN.

Então eu instalei o dnsmasq com as configurações:

listen-address=127.0.0.1
domain-needed
bogus-priv
no-resolv
no-poll
strict-order
server=/somedevhost.com/10.4.0.21
server=8.8.8.8
server=/slack-edge.com/8.8.8.8
server=/somedevhost.com/10.4.0.22
no-hosts

Defina o network-manager para usá-lo:

[main]
dns=dnsmasq
plugins=ifupdown,keyfile
[ifupdown]
managed=false
[device]
wifi.scan-rand-mac-address=no

Agora os recursos VPN estão disponíveis, mas alguns hosts externos estão resolvendo lentamente ou não desde a primeira tentativa; por exemplo, o slack está carregando, mas as mensagens e o canal não estão com o erro no console do navegador (eu uso o webclient) - ele aparece depois de ativar somente a VPN:

2018/1/29 12:42:30.595 logging error:
{"subtype":"api_call_error","message":"{\"ok\":false,\"error\":\"not_allowed\"}","stack":"Error\n
at Object.n [as logError]
(https://a.slack-edge.com/bv1-1/rollup-core_required_ts.9069eb596bccc6b1a2d8.min.js:1:62608)\n
at e
(https://a.slack-edge.com/bv1-1/rollup-secondary_a_required.0718dfd6831f53c92d4a.min.js:1:129606)\n    at e
(https://a.slack-edge.com/bv1-1/rollup-secondary_a_required.0718dfd6831f53c92d4a.min.js:1:124805)\n    at e
(https://a.slack-edge.com/bv1-1/rollup-secondary_a_required.0718dfd6831f53c92d4a.min.js:1:126400)\n    at XMLHttpRequest.m.onreadystatechange
(https://a.slack-edge.com/bv1-1/rollup-secondary_a_required.0718dfd6831f53c92d4a.min.js:1:128098)"} (I tried to add slack-edge.com to be served over google dns but it
seem to have no effect)

Para mim, parece que a regra para usar os servidores DNS devhostname.com é amplamente aplicada quando eu esperava que fosse usada apenas para recursos especificados, e no google DNS 8.8.8.8 para todas as outras solicitações.

O que estou fazendo de errado?

    

Answer 1

Não é uma boa prática de design padrão configurar como resolvedores diferentes servidores DNS com diferentes visões do "mundo".

Deixar esse tipo de decisão para quem falar / perguntar não leva a bons resultados. Você precisa lidar com erros de servidores DNS ou mesmo com tempos limite de cache negativos.

Depois, há túneis VPN completos e túneis VPN divididos. No primeiro, foi feita uma configuração consciente para dissuadir os usuários finais de usar a Internet enquanto estão com a VPN ativa .

Uma opção é configurar algumas configurações do servidor DNS ao seu lado que apenas encaminha nomes internos do DNS para o outro lado da VPN.

No passado, não tínhamos requisitos rígidos de segurança e, para pessoas não tão confiáveis, fornecíamos a eles túneis de VPN divididos.

Para as pessoas em quem confiamos, fornecemos túneis VPN completos que permitiram que eles acessassem a Internet. Nós também forçamos as solicitações de DNS a passarem pelos próprios servidores DNS, independentemente do servidor DNS que eles tivessem configurado, e funcionou muito bem. Se você não for o único a gerenciar a VPN, lembre-se de que também pode estar lidando com essa configuração.

Novamente, tenha em mente que um túnel VPN completo pode ser configurado para bloquear o acesso à Internet e apenas dar acesso a ativos corporativos, ou seja, pode impedir que você use a Internet por design .

Converse com seus amigos da rede.