systemd-resolved (Русский)

systemd-resolved может выполнять разрешение доменных имён четырьмя различными способами. Все четыре режима работы подробно описаны в руководстве . Наиболее часто используются следующие два:

1. С файлом DNS-заглушки systemd — файл содержит указание использовать локальную заглушку (local stub) на адресе 127.0.0.53 в качестве единственного DNS-сервера, а также список доменов для поиска. Это рекомендуемый режим работы. Файл стоит заменить символической ссылкой на файл заглушки, чтобы все процессы использовали последний при разрешения имён:
2. С файлом resolv.conf — systemd-resolved работает с файлом как обычный клиент. Этот режим менее разрушителен, поскольку другие программы по-прежнему смогут использовать .

systemd-resolved работает "из коробки" с сетевыми менеджерами, использующими файл . Никаких дополнительных настроек не требуется, поскольку systemd-resolved будет автоматически обнаружен при переходе по символической ссылке . Во всяком случае, это работает для systemd-networkd и NetworkManager.

Тем не менее, если какой-то DHCP- или VPN-клиент настраивает сервера имён и домены поиска с помощью resolvconf (список использующих resolvconf программ приведён в статье openresolv#Пользователи), то необходимо дополнительно установить пакет , который предоставляет символическую ссылку .

В режиме локальной DNS-заглушки можно назначить произвольные DNS-серверы, указав их в файле :

Если systemd-resolved не получает адреса DNS-серверов от сетевого менеджера и никакие сервера не были настроены вручную, то он использует специальные зарезервированные DNS-адреса. Таким образом, разрешение доменных имён работает всегда.

Изменить адреса можно с помощью параметра в файле , например:

Чтобы полностью отключить функциональность резервных DNS-серверов, задайте параметр без указания адреса:

Проверка DNSSEC настраивается параметром в файле .

• DNSSEC=allow-downgrade — проверка выполняется только в том случае, если опрашиваемый сервер её поддерживает.
• — проверка выполняется всегда; если сервер не поддерживает DNSSEC, то разрешение доменных имён работать не будет. Пример:

Проверьте, работает ли DNSSEC, отправив запрос к домену с неправильной подписью:

Затем проверьте домен, подпись которого в порядке:

DNS over TLS по умолчанию не работает. Чтобы его включить, задайте параметр в разделе файла . Чтобы включить проверку сертификата DNS вашего провайдера, добавьте соответствующее имя хоста в параметр в формате ip_адрес#имя_хоста. Например:

С помощью можно проверить, работает ли DNS over TLS. В этом режиме для DNS-запросов используется порт 853 (вместо стандартного 53). По этой причине при разрешении имени с DoT команда не выдаст ничего, а команда ngrep port 853 выведет зашифрованные данные.

Wireshark позволяет более подробно изучить пакеты запросов и ответов DNS over TLS. Установить Wireshark можно с пакетами и .

systemd-resolved может работать в режиме multicast DNS, причём и как распознаватель (resolver), так и как передатчик (responder).

Распознаватель выполняет разрешение имени хоста по схеме "имя_хоста.local"

mDNS будет работать для конкретного соединения только в том случае, если он включён одновременно и в глобальных настройках systemd-resolved (параметр в ), и в настройках сетевого менеджера для данного соединения. systemd-resolved по умолчанию работает как mDNS-передатчик, но systemd-networkd и NetworkManager требуют дополнительных настроек, чтобы включить этот режим для соединений:

• Для systemd-networkd — задайте параметр в разделе , а также Multicast=yes в разделе . См. .
• Для NetworkManager — задайте параметр в разделе . См. . Также необходимо включить режим mDNS для каждого сетевого интерфейса, на котором он будет использоваться: systemd-resolve --set-mdns=yes --interface=имя_интерфейса.

Если вы планируете использовать mDNS при работающем межсетевом экране, не забудьте открыть UDP-порт .

Link-Local Multicast Name Resolution — разработанный Microsoft протокол разрешения имён хостов.

LLMNR будет работать для конкретного соединения только в том случае, если он включён одновременно и в глобальных настройках systemd-resolved (параметр LLMNR= в ), и в настройках сетевого менеджера для данного соединения. systemd-resolved по умолчанию работает как LLMNR-передатчик, но systemd-networkd и NetworkManager требуют дополнительных настроек, чтобы включить этот режим для соединений:

• Для systemd-networkd — задайте параметр LLMNR= в разделе . См. .
• Для NetworkManager — задайте параметр в разделе . См. .

Если вы планируете использовать LLMNR при работающем межсетевом экране, не забудьте открыть UDP- и TCP-порт .

Иногда systemd-resolved не может выполнить поиск в локальном домене при передаче ему только имени хоста. При этом возможна ситуация, когда с формальной точки зрения всё в порядке — в соответствующем .network-файле systemd-networkd присутствуют параметры или Domains=[список_доменов], в результате чего в файле , как и положено, появилась строка . Запустите или , чтобы убедиться, что домены для поиска в самом деле были обнаружены и собраны.

Возможные решения:

• Отключите LLMNR, чтобы systemd-resolved начал присоединять DNS-суффиксы.
• Отредактируйте базу данных hosts в файле (например, удалите опцию после службы resolve).
• Перейдите на использование полных доменных имён.
• Используйте файл для разрешения имён.
• Используйте службу из библиотеки glibc вместо resolve из systemd.

Чтобы systemd-resolved выполнял разршение частичных доменных имён, добавьте параметр в .

Судя по всему, это работает только с отключённым LLMNR ().

Если вы используете systemd-networkd, то можно использовать в качестве поискового домен, предоставленный DHCP-сервером или IPv6 Router Advertisement. По умолчанию эта возможность отключена; для включения добавьте следующие строки в .network-файл сетевого интерфейса:

Проверить домены для всех интерфейсов можно командой:

$ resolvectl domain