Configure split DNS para serviços internos

O split DNS direciona consultas de um domínio específico para um servidor DNS escolhido. Isso permite resolver nomes internos sem encaminhar todas as consultas da máquina ao mesmo servidor. O MagicDNS continua atendendo aos nomes dos dispositivos da tailnet.

Prepare o servidor de nomes

Anote o domínio interno, o endereço do resolvedor e um registro que já exista. Neste exemplo didático, app.interno.example.com deve responder com o endereço do serviço e o resolvedor é 10.10.0.53. Substitua ambos pelos valores do seu ambiente.

O cliente precisa alcançar o resolvedor. Se o endereço pertence à rede local, configure primeiro o subnet router correspondente. Confira também as permissões de acesso ao DNS, normalmente UDP e TCP na porta 53.

Cadastre o domínio no painel

Abra DNS no painel administrativo da tailnet. Em Nameservers, adicione um servidor personalizado, informe o endereço e habilite a restrição por domínio. Use interno.example.com para o exemplo acima. Confira o domínio antes de confirmar a alteração.

O resolvedor restrito atende somente às consultas correspondentes. Um servidor global atende consultas de qualquer domínio. Para esta configuração, mantenha o servidor limitado ao domínio interno.

No cliente Linux, confira se a configuração DNS da tailnet está aceita:

1
sudo tailscale set --accept-dns=true

Teste pelo resolvedor do sistema

No Linux, consulte o nome completo pelo mecanismo usado pelas aplicações:

1
getent hosts app.interno.example.com

Compare o endereço retornado com o registro mantido no servidor DNS. Depois, abra a aplicação pela URL e pela porta esperadas. Resolver o nome e acessar o serviço são verificações distintas.

Se uma consulta direta ao servidor responde, mas o sistema não resolve o nome, revise a aceitação do DNS e o domínio cadastrado. Se nenhuma consulta responde, confira primeiro o caminho até o resolvedor. Siga o diagnóstico de DNS sem resposta para separar essas etapas.

Teste também o endereço devolvido pelo DNS

Resolver um nome e alcançar seu endereço são duas verificações. Se o DNS devolver um IP de uma LAN, o cliente precisa de uma rota até essa LAN e de permissão para a porta da aplicação. A rota usada para chegar ao resolvedor pode ser diferente da rota até o serviço.

No Linux com as ferramentas DNS instaladas, uma consulta direta pode separar uma falha do servidor de uma falha de seleção do resolvedor:

1
dig @10.10.0.53 app.interno.example.com

Substitua o IP e o nome pelo seu ambiente. Esse comando consulta explicitamente o servidor indicado. Ele não comprova que as aplicações do sistema estão usando split DNS. Faça também a consulta pelo resolvedor do sistema, conforme a etapa anterior.

Uma resposta NXDOMAIN informa que o servidor consultado não encontrou aquele nome. Um tempo de espera esgotado exige conferir alcance, serviço DNS e firewall. Evite acrescentar um resolvedor público para tentar resolver um domínio que existe apenas no DNS interno.

Desfaça apenas a configuração adicionada

Para retirar este domínio da tailnet, remova o nameserver restrito correspondente no painel. Preserve as demais entradas. Repita a consulta pelo sistema e confira o comportamento esperado fora do domínio interno.