DNS-Server über Cisco AnyConnect VPN auf dem Mac neu ordnen oder "priorisieren"

988
Craig Otis

Ich habe Cisco AnyConnect auf meinem Mac (10.13.6) und die DNS-Auflösung funktioniert ordnungsgemäß für unsere internen Hostnamen. Die Ausgabe von scutilsieht gut aus:

2015MBP:~ craig$ scutil --dns DNS configuration  resolver #1 search domain[0] : dns1.mycompany.com search domain[1] : dns2.mycompany.com search domain[2] : hsd1.ma.comcast.net nameserver[0] : 10.xx.xx.xx (<-- AN INTERNAL COMPANY IP) nameserver[1] : 10.xx.xx.xx (<-- AN INTERNAL COMPANY IP) flags : Request A records, Request AAAA records reach : 0x00000002 (Reachable) order : 1  resolver #2 domain : local options : mdns timeout : 5 flags : Request A records, Request AAAA records reach : 0x00000000 (Not Reachable) order : 300000  resolver #3 domain : 254.169.in-addr.arpa options : mdns timeout : 5 flags : Request A records, Request AAAA records reach : 0x00000000 (Not Reachable) order : 300200  resolver #4 domain : 8.e.f.ip6.arpa options : mdns timeout : 5 flags : Request A records, Request AAAA records reach : 0x00000000 (Not Reachable) order : 300400  resolver #5 domain : 9.e.f.ip6.arpa options : mdns timeout : 5 flags : Request A records, Request AAAA records reach : 0x00000000 (Not Reachable) order : 300600  resolver #6 domain : a.e.f.ip6.arpa options : mdns timeout : 5 flags : Request A records, Request AAAA records reach : 0x00000000 (Not Reachable) order : 300800  resolver #7 domain : b.e.f.ip6.arpa options : mdns timeout : 5 flags : Request A records, Request AAAA records reach : 0x00000000 (Not Reachable) order : 301000  DNS configuration (for scoped queries)  resolver #1 search domain[0] : hsd1.ma.comcast.net nameserver[0] : 192.168.1.1 if_index : 5 (en0) flags : Scoped, Request A records, Request AAAA records reach : 0x00020002 (Reachable,Directly Reachable Address)

Ich stelle jedoch fest, dass das Unternehmens-DNS für Dinge verwendet wird, für die es nicht erforderlich ist:

2015MBP:~ craig$ nslookup apple.com Server: 10.xx.xx.xx. (<-- SAME COMPANY IP FROM ABOVE) Address: 10.xx.xx.xx#53  Non-authoritative answer: Name: apple.com Address: 17.178.96.59 Name: apple.com Address: 17.142.160.59 Name: apple.com Address: 17.172.224.47

Gibt es eine Möglichkeit, macOS anzuweisen, meinen ISP für die Hostnamenauflösung zu priorisieren und nur auf das VPN-DNS zuzugreifen, um Suchvorgänge durchzuführen, die beim ersten Mal fehlschlagen?

1

3 Antworten auf die Frage

1
apocalysque

Ich weiß, dass dies Ihre Frage nicht genau beantwortet, wie Sie es bei anyconnect beheben können, aber ich konnte das gewünschte Ergebnis mit openconnect erzielen. Wenn Sie die Adressen / Bereiche kennen, die Sie über VPN routen müssen, können Sie diese statischen Routen manuell hinzufügen, um über die VPN-Schnittstelle zu gehen, einschließlich der DNS-Server @ work. Sobald Sie Ihre Routen eingerichtet haben, können Sie den Arbeits-DNS-Server als nicht primäre Option in den DNS-Einstellungen für Ihre Hauptschnittstelle hinzufügen. Die sekundären / tertiären / quartären / etc. Der DNS-Server bei der Arbeit wird nur dann abgefragt, wenn die Ergebnisse nicht im primären DNS gefunden werden. Wenn Sie die Routen ordnungsgemäß eingerichtet haben, wird die DNS-Abfrage automatisch über das VPN geleitet, ebenso wie der restliche arbeitsgebundene Datenverkehr.

Dies kann jedoch zu Problemen führen, wenn Sie Anwendungen verwenden, die DNS aufgeteilt haben.

Ich vermute, * Sie könnten dies mit anyconnect tun, indem Sie die Standardroute löschen (die von anyconnect festgelegte, nicht die Standardroute für den Netzwerkadapter1) oder die DNS-Servereinstellungen für die VPN-Verbindung ändern. Das Problem ist jedoch, dass anyconnect Ihre Einstellungen jedes Mal ändert Sie verbinden sich wieder. Mit openconnect konnte ich persistente Routen über den VPN-Adapter einrichten, der immer funktionierte, wenn das VPN aktiv war.

Wenn Sie weitere Informationen benötigen, lassen Sie es mich wissen und ich kann die Antwort bearbeiten.

0
Abu Zaid

Die Einstellungen werden normalerweise auf der ASA selbst konfiguriert. Sie können angeben, ob alle DNS-Abfragen durch den VPN-Tunnel gesendet werden sollen oder zwischen VPN-Tunnel und physischer Schnittstelle aufgeteilt werden sollen. Mir sind keine Einstellungen bekannt, die auf dem Client-Computer (Ihrem MAC) verwendet werden können, um die DNS-Auflösung zuerst über lokales DNS zu erzwingen und dann auf den DNS-Server zurückzugreifen, der über den VPN-Client bereitgestellt wird.

0
Tony

Andere Leute scheinen das gleiche Problem mit verschiedenen VPN-Clients zu haben. Antworten finden Sie unter https://apple.stackexchange.com/questions/73076/mac-os-x-mountain-lion-dns-resolving-uses-wrong-order-on-vpn-via-dial-up-conne das könnte helfen.

Verwandte Probleme