Waarom Windows jou VPN-name na 'n DNS-bediener stuur wat jy nooit opgestel het nie

Jy stel die DNS-bediener op die VPN-adapter, maak weer verbinding, en die private naam kom steeds van die kantoorresolver terug wat niemand op hierdie skootrekenaar opgestel het nie. Daardie uitkoms lyk of die instelling geïgnoreer is, en in 'n sekere sin is dit so, want die adapterlys is 'n versameling kandidate eerder as 'n besluit. Windows los name op deur 'n naamruimtebeleid wat vir 'n spesifieke agtervoegsel 'n ander bediener kan aanwys, en daardie beleid word toegepas voordat die adapterinstelling geraadpleeg word. Om die reël te vind wat gewen het, is 'n werk van vyf minute sodra jy weet watter tabel om te lees.

Wat jy verander het, en wat werklik besluit

Die DNS-adres op 'n adapter vertel die kliënt waar daardie koppelvlak navrae kon stuur. Die Name Resolution Policy Table vertel die kliënt waar dit navrae vir 'n gegewe naamruimte moet stuur, en dit word per naam geëvalueer, nie per adapter nie. Wanneer 'n reël by die agtervoegsel pas wat jy getik het, word die reël se bedieners gebruik en die adapterlys hou op om saak te maak vir daardie opsoek.

Dit is waarom twee name op dieselfde skootrekenaar op dieselfde oomblik verskillende paaie kan volg. 'n Gasheer onder die korporatiewe agtervoegsel volg sy reël; 'n publieke naam volg die verstekpad, wat gewoonlik beteken die adapter wat eerste antwoord.

Hoe die tabel 'n naam pas

Reëls word volgens naamruimte gesleutel, en die mees spesifieke passing wen. 'n Reël vir corp.example geld vir vpn.corp.example en geld nie vir example.net nie. 'n Reël met die naamruimte . dek alles wat die ander reëls nie dek nie, wat dit die gevaarlikste inskrywing op die lys maak en die een wat die moeite werd is om na te gaan wanneer 'n onverwante werf deur die tonnel oplos.

'n Reël kan ook 'n opmerking dra, 'n beleid wat die inskrywing deaktiveer, en sekuriteitsinstellings wat niks met DNS-adresse te doen het nie. 'n Gedeaktiveerde reël bly in die konfigurasie sigbaar terwyl dit geen effek het nie, so 'n inskrywing wat op papier reg lyk, kan ná 'n profielverandering steeds onaktief wees.

Lees die effektiewe tabel, nie die wenslys nie

Gekonfigureerde reëls en effektiewe reëls is twee verskillende vrae. Get-DnsClientNrptRule lys wat op die masjien bestaan. Get-DnsClientNrptPolicy -Effective wys wat die kliënt werklik gaan toepas, met die waardes saamgevoeg uit beleid en plaaslike instellings.

Vergelyk die agtervoegsel in daardie uitset met die naam wat jy toets, karakter vir karakter. 'n Reël vir corp.example vang nie 'n naam wat op corp.example.com eindig nie, en 'n punt aan die einde op een plek en nie op die ander nie is genoeg om die passing te verander.

Sonder 'n reël vra Windows meer as een adapter

Wanneer niks in die tabel die naam opeis nie, kan die kliënt die navraag deur verskeie koppelvlakke uitstuur en die eerste antwoord neem wat opdaag. Die uitkoms hang van tydsberekening af: dieselfde naam kan Maandag van die bedrade adapter af oplos en Dinsdag van die tonnel, en niks in die konfigurasie van enige adapter verduidelik die verskil nie.

Daar is twee uitweë. Voeg 'n reël vir die naamruimte by sodat die besluit ophou 'n wedloop wees, of skakel die parallelle gedrag deur die DNS-kliëntbeleid af en aanvaar die stadiger, deterministiese resolusie. Die eerste pas gewoonlik beter by 'n split-tunnel VPN, want dit dokumenteer die bedoeling in plaas van om op volgorde te vertrou.

Paadjies wat die resolver heeltemal oorslaan

'n Blaaier met veilige DNS geaktiveer, los self op en gee Windows net die adres, so die reëltabel sien nooit die naam nie. Kliënte wat op looptye met hul eie resolver gebou is, kan dieselfde doen. Wanneer 'n naam in een toepassing oplos en in 'n ander op dieselfde masjien misluk, vergelyk die twee resolusiepaaie voordat jy aan die beleid raak.

Kyk ook of die program aan 'n gekaste adres van 'n vroeëre sessie koppel. Clear-DnsClientCache en dan dieselfde opsoek gee 'n skoner antwoord as om uit 'n verouderde resultaat af te lei.

Toets met die naam wat misluk het

Los die presiese gasheernaam uit die verslag op, nie 'n publieke spoedtoetsdomein nie, en let op watter bediener geantwoord het. Verander dan een ding: die reël, die adapterlys of die beleidstoewysing, en herhaal dieselfde opsoek ná 'n herverbinding sodat die toegepaste toestand herbou word.

As die naam oplos en die diens weier steeds, stop om DNS te wysig. Die volgende nuttige stap is die adres en die roete daarheen, want naambepaling het reeds sy werk gedoen.