VPN متصل لكن الأسماء تفشل: أين يتعطل DNS فعلاً

النفق قائم والأيقونة خضراء وكل علامة تبويب في المتصفح تبلغ عن فشل في تحليل الأسماء. ثلاث آليات مختلفة تنتج هذه الصورة: قد يكون خادم الحلّ غير قابل للوصول، أو قد يسأل العميل خادمًا لم تتوقعه، أو قد تفشل الأسماء الخاصة وحدها. افصل بينها قبل أن تغيّر أي شيء في بروتوكول النفق، لأن كل واحدة تُصلَح في مكان مختلف. يبدأ الترتيب أدناه بالملاحظات التي تفصل الثلاث عن بعضها.

ما يحتاجه البحث فعلاً

يحتاج البحث إلى ثلاثة أشياء: عنوان خادم حلّ، ومسار إلى ذلك العنوان، وإجابة تطابق السؤال. يمكن أن يفشل كل منها بمفرده، والعَرَض الظاهر هو الصفحة نفسها التي لا تُحمَّل. لهذا لا تخبرك صفحة الخطأ بأي شيء تقريبًا حتى تعرف أي الثلاثة انكسر.

يتعلم العميل عنوان خادمه الحلّ من ملف تعريف VPN، أو من DHCP على النفق، أو من إعداداته الخاصة، وأي مصدر يفوز يعتمد على المنصة. على Windows يسرد ipconfig /all خوادم DNS لكل محوّل، فيمكنك أن ترى هل وصلت القيمة المدفوعة فعلاً. القيمة المدفوعة التي لم تصل إلى نظام التشغيل قط هي فشل صامت وشائع. اقرأ القيمة المهيّأة قبل أن تلمس الملف.

يجيب Linux وmacOS على السؤال نفسه بأوامر مختلفة، والإجابة تستحق القراءة نفسها: resolvectl status و scutil --dns كلاهما يسرد الخوادم لكل واجهة. قارن تلك القائمة بالعنوان الذي يدّعي الملف أنه يدفعه. عدم التطابق هنا يفسر كل ما يليه، فاحسمه قبل أن تختبر الأسماء.

اختبر اسمًا عامًا واحدًا واسمًا خاصًا واحدًا

استعلم عن اسم مضيف عام عادي واسم المضيف الخاص الموثّق من الجهاز نفسه، وسجّل أي خادم أجاب عن كل منهما. إن فشل الاثنان، فالخادم الحلّ أو مساره معطوب. وإن فشل الاسم الخاص وحده، فقد أجاب الخادم الحلّ وصار السؤال عن المنطقة أو التوجيه. نفّذ الاستعلامين خلال دقيقة من بعضهما حتى لا يفسّر تغيّر المسار الفرق.

أبقِ الأسماء الداخلية خارج لقطات الشاشة العامة وخارج الخوادم الحلّة العامة. انتهاء المهلة وإجابة النطاق غير الموجود ملاحظتان مختلفتان: الأولى تقول إن شيئًا لم يرجع، والثانية تقول إن سلطة ردّت بأن الاسم غير موجود. التعامل معهما كخطأ واحد يرسلك إلى الطبقة الخطأ، وتحذير الشهادة شيء ثالث آخر وليس فشل DNS.

nslookup يطبع الخادم الذي سأله والإجابة التي تلقاها، وهما بالضبط الزوج الذي تحتاجه. نفّذه مرتين من الصدفة نفسها واكتب العنوان المجيب بجانب كل إجابة.

nslookup example.com
nslookup host.corp.example 10.20.30.53

تأكد أن العميل يستطيع فعلاً الوصول إلى ذلك الخادم

لا يفيد الخادم الحلّ الخاص الذي يدفعه الملف إلا إذا استطاع العميل الوصول إليه والنفق قائم. العنوان الذي يبدو صحيحًا بلا مسار ينتج انتهاء مهلة، وحالة النفق المتصلة لا تقول شيئًا عن ذلك المسار. الفحص هو بحث عن مسار موجّه إلى الخادم الحلّ نفسه، لا إلى نقطة نهاية VPN.

كل منصة تجيب عن ذلك بسطر واحد، والواجهة المذكورة في المخرجات هي الجواب كله. إن أشارت إلى المحوّل الفيزيائي بينما يقع الخادم الحلّ خلف النفق، فالملف لا يدفع بادئة تغطيه.

ip route get 10.20.30.53                      # Linux
route -n get 10.20.30.53                     # macOS
Find-NetRoute -RemoteIPAddress 10.20.30.53   # Windows PowerShell

في ملف تعريف النفق المنقسم قد يقع الخادم الحلّ خارج المسارات المدفوعة، وهذه مشكلة ملف لا مشكلة خادم. قارن عنوان الخادم الحلّ بالبادئات المدفوعة وتأكد أن إحداها تغطيه. عدم التطابق نفسه يفسّر لماذا يعمل DNS على شبكة ويفشل على أخرى بملف تعريف مطابق.

تذكّر أن المتصفحات قد تتجاوز خادم النظام الحلّ

متصفح مع DNS الآمن مفعّلاً يمكنه إرسال الاستعلامات عبر HTTPS إلى مزوّد من اختياره وتجاهل خادم نظام التشغيل الحلّ تمامًا. حينها يبدو النظام صحيحًا بينما يفشل المتصفح، أو العكس. هذه مسألة سياسة للمتصفح لا للنفق.

افحص إعداد DNS الآمن في المتصفح وأي سياسة مُدارة تتحكم فيه، ثم جرّب تطبيقًا أو متصفحًا ثانيًا والنفق دون تغيير. إن فشل تطبيق واحد فقط، فالإصلاح مكانه ذلك التطبيق. النافذة الخاصة ليست مقارنة نظيفة، لأنها قد تعطّل الإضافات افتراضيًا في متصفح دون آخر، وهي لا تتجاوز السياسة المُدارة أبدًا. استخدم ملف تعريف متصفح ثانٍ أو تطبيقًا آخر بدلاً من ذلك.

أفرغ الذاكرة المؤقتة وأعد اختبار المهمة الحقيقية

بعد تصحيح إعداد، أفرغ ذاكرة خادم الحلّ المحلي المؤقتة حتى لا تبقى إجابة قديمة بعد الإصلاح. التعافي القصير الذي يتبعه فشل آخر يعني أن السبب ما زال موجودًا، لا أن الإفراغ فشل. اختر السطر الذي يطابق الجهاز الذي عليه، لأن الذاكرات الثلاث منفصلة.

ipconfig /flushdns                 # Windows
resolvectl flush-caches            # Linux
sudo killall -HUP mDNSResponder    # macOS

ثم كرّر المهمة الأصلية بدل بحث مصطنع، لأن المهمة هي ما يهم المستخدم. أعد الاتصال مرة أيضًا، حتى يغطي الاختبار الثاني الحالة التي سيكون فيها المستخدم فعلاً. إن مرجع nslookup من Microsoft هو الصفحة التي تحتفظ بها لوسائط الاستعلام.

إذا فشلت الأسماء فقط بعد قطع الاتصال، فلم يستعد العميل التهيئة السابقة، وهذا خلل في دورة الحياة يُبلَّغ عنه بدل استبدال خادم DNS. البحث الناجح ليس اختبار تسريب أيضًا، لأن بلد الخروج لا يخبرك أي خادم حلّ أجاب.