Чиним резолвинг адресов в VPN-локалке (openconnect) для docker и systemd-resolved

[kozlyuk]

Тема поднята важная, но в тексте сумбур и колхоз.

1. Многие шаги не автоматизированы, не руками же чинить при каждом подключении?
2. Если DHCP сломан, это надо править на сервере, а не бороться локально.
3. mDNS (Bonjour & co) и .local могут работать вместе, если правильно настроен /etc/nsswitch.conf.
4. В итоге контейнеры в отдельных сетях так и не могут разрешать домены в .local. Насколько я знаю, решается либо /etc/hosts (с очевидными недостатками), либо через socat, как описано (но у меня в нем регулярно виснут соединения, приходится перезапускать), либо через --add-host/extra_hosts для контейнер (не лучше /etc/hosts).

[AlexGluck]

2й пункт поддерживаю.
По 3ему пункту можете поделиться знаниями?

[kozlyuk]

https://github.com/lathiat/nss-mdns

nss-mdns will check SOA before every request to resolve .local names, meaning that neither nss-mdns nor Avahi need to be disabled to allow .local queries to be served from unicast DNS.

[AlexGluck]

Я бы хотел описание, что, где, как, зачем, для чего. Но уже сам разобрался(
Вот старая статья, которая, к сожалению, не рассказывает, почему надо такие настройки делать.
Вот здесь описание работы библиотек/и для nsswitch.
Вот здесь описание файла настроек nsswitch.
В кратце, строка в конфиге должна выглядеть так:
hosts: files mdns4_minimal dns mdns
Почему так:
1. Мы проверяем сначала файлы hosts.
2. Потом проверяем адреса 169.254.0.0/16 и домены X.local и Y.local. (только второй уровень днс).
3. Потом делаем поиск в днс серверах.
4. И только после этого проверяем все адреса ip стеков 4 и 6, а так же все домены перечисленные в файле /etc/mdns.allow

[3draven]

1. А зачем руками чинить при каждом подключении? Один раз это настраивается. Нечего там автоматизировать, настройки соединения менеджер помнит.
2. Кому из админов это надо, рисковать менять поисковый домен. Фиг знает, что на него завязано у клиентов. Проще самому починить.
3. Так как это мне ненужно, проще удалить и не настраивать.
4. Решение описано, но мне не нужно. Даже два. Сокат рвет соединение, сделай багу, поступи правильно! :)

В общем претензии непонятны :)

О каком сумбуре речь вообще неясно, можно команды прям по очереди выполнить и все причины описаны. Это уж вообще странное заявление :) Все это похоже на высосанный из пальца комент :)

[kozlyuk]

1. Поверю вам, не особо знаю NetworkManager.
2. Админам деньги платят, чтобы настроили все правильно. По-вашему, лучше каждому клиенту приседать?
3. Тогда должна быть оговорка. Иначе получается инструкция, которая ломает смежную функциональность.
4. Достаточно оказалось открыть man socat и прочитать про -T :)

команды прям по очереди выполнить и все причины описаны

Претензия как раз к тому, что вы останавливаетесь на удобном вам решении, но не всегда упоминаете его проблемы (вовсе необязательная поломка mDNS, итоговое решение для Docker не связано с VPN).

P. S. Минусы не от меня.

[3draven]

Ну тут да, это инструкция по решению конкретной проблемы, а не ман, соглашусь, удобно для меня.

Минусов два, а в закладках заметка у семерых. Ценители минусов могут расслабиться ;)

[AlexGluck]

Есть поговорка: «миллионы мух не могут ошибаться». Давайте на техническом ресурсе апеллировать не косвенными фактами.

P. S. Минусы не от меня.

[3draven]

Это вообще о чем? :) Давайте лучше вопрос или апдейт к написанному в статье напишите.

[AlexGluck]

Всё есть в первом комментарии, не вижу необходимости разводить флейм.

[3draven]

Вот и ок.

[chemtech]

Похоже эта issue https://github.com/systemd/systemd/issues/6076