المقدمة
يصف هذا المستند كيفية حل مشكلة مع الإصدارات الأحدث من MacOS Big Sur التي تؤثر على دقة DNS.
معلومات أساسية
النطاق
- AnyConnect Roaming Security Module أو Umbrella على الشبكة (مثل VA أو إعادة التوجيه)
- لا يتأثر عميل التجوال المستقل الخاص بالمظلة. توجد بيئة DNS الأحادية حيث يتم إستبدال جميع DNS ب 127.0.0.1).
- يحدث في البيئات ذات واجهات الشبكة المتعددة، ولكن يمكن لواجهة واحدة فقط حل العناوين الداخلية. على سبيل المثال:
- الشبكة الخاصة الظاهرية (VPN) والشبكة الخاصة الظاهرية (VPN) البعيدة
- بطاقة واجهة شبكة (NIC) متعددة - شركة واحدة وشركة واحدة غير تابعة للشركة
الأعراض
- عدم القدرة (أو القدرة المتقطعة) على الوصول إلى المجالات المحلية مع الاحتفاظ بالقدرة على الوصول إلى المجالات العامة
- لم يتأثر NSLOOKUP على وجه التحديد ويستمر في العمل
- عملية إختبار الاتصال و traceroute، إلخ، لم يتم حلها بشكل صحيح أو لم يتم العثور على المجال الداخلي
المشكلة
تحدث هذه المشكلة بسبب التعليمات البرمجية في MacOS التي تتعامل مع طريقة إدارة دقة DNS في وجود خوادم DNS متعددة. ويمكن أن تكون هذه المحولات متعددة المحددات على مهايئ شبكة واحد أو محولات متعددة عبر مهايئات شبكة مختلفة. يتم "معاقبة" خادم DNS الذي يستجيب ب REJECTED لمدة 60 ثانية. عند حدوث ذلك، يتم تجربة أي استعلامات DNS أخرى تحدث خلال هذه الفترة الزمنية على خوادم DNS البديلة التي لم يتم المعاقبة عليها.
على سبيل المثال، إذا أعلن DHCP عن خادمي DNS للشبكة، A و B، وكان A مع رفض، فيفضل B على A لمدة 60 ثانية طالما لم تتم معاقبة B.
إذا تم معاقبة جميع خوادم DNS، فإن MacOS يفضل الخادم الأقل عقوبة. على سبيل المثال، إذا تم معاقبة B بينما تم معاقبة A بالفعل، فإن MacOS يفضل A على B.
ويتفاقم هذا بسبب محاولة MacOS 11 وما هو أعلى تأكيد DoH (DNS عبر HTTPS). يتم برمجة MacOS لتفضيل مزود DoH لمجموعة المستخدمين عند الإمكان. وهذا من شأنه أن يتحايل على أمان Umbrella DNS، مما يعني أننا نعيد إستجابة مرفوضة (وفقا ل RFC) عندما يقوم MacOS ببدء طلب DoH. نظرا لمعاقبة DNS، قد يؤدي ذلك إلى عدم حل المجالات الداخلية بشكل صحيح. لمزيد من المعلومات حول هذه المسألة، انظر هذه المقالة: تحديد محلل DNS في iOS 14 و MacOS 11.
الحل
لم نعي بعد ما إذا كانت شركة أبل تخطط لتغيير هذا السلوك أو ما إذا كانت شركة Umbrella قادرة على تغيير سلوكها للتعامل مع هذه المشكلة. في الوقت الحالي، هناك خياران يعملان كأساسيات عمل:
الخيار 1
قم بتمكين Split-DNS في نهج المجموعة وأضف المجالات الداخلية على وجه التحديد إلى تكوين DNS المقسم بحيث تكون قابلة للحل فقط عبر النفق. وهذا يضمن أنه يمكن حل هذه المجالات عبر النفق فقط بواسطة محلل نظام التشغيل الأصلي، في حين أن أي مجالات أخرى يمكن حلها فقط خارج النفق.
الخيار 2
قم بتمكين Tunnel-all-DNS في نهج المجموعة لمنع أي حركة مرور DNS من الخروج من النفق.
التعليقات