لماذا يحل nslookup عبر VPN بينما لا يستطيع المتصفح ذلك

يرسل nslookup استعلامًا إلى الخادم الذي تسميه ويطبع الإجابة، ولهذا يمكن أن ينجح بينما تفشل كل علامة تبويب في المتصفح. يطلب المتصفح من نظام التشغيل أن يحل الاسم، ونظام التشغيل يوازن بين محللات كل واجهة وقواعد سياسة تحليل الأسماء والموقع الشبكي للمحول. ثم قد يضيف المتصفح DNS المشفر الخاص به فوق ذلك. ثلاثة مسارات مختلفة وعرض واحد، والنفق عادة ليس الجزء المعطل.

تتبع الفحوصات أدناه تلك المسارات من النظام إلى الخارج. لا تعدل ملف تعريف VPN حتى تعرف أي مسار أجاب وأي مسار فشل.

ثلاث سياسات تحدد الإجابة

تحمل كل واجهة قائمة المحللات الخاصة بها ولاحقات البحث. يضيف محول VPN خوادم بينما يحتفظ المحول الفيزيائي بخوادمه، ويمكن للنظام أن يأخذ أي إجابة تصل أولًا، لذا قد يُخدم البحث خارج النفق دون أن يختار أحد ذلك. يمكن لقواعد جدول سياسة تحليل الأسماء أن ترسل نطاقات محددة إلى خوادم محددة، وهكذا يُعبَّر عادة عن DNS المنفصل على Windows. ويمكن لعميل VPN أو البوابة أن يدفع عنوان محلل لا وجود له إلا داخل الشبكة الخاصة.

تتفاعل هذه الثلاثة بطرق تبدو عشوائية من المتصفح. محلل مدفوع بعنوان خاص بلا مسار عبر النفق المنفصل يجعل كل بحث يتوقف ثم يفشل. قاعدة سياسة تغطي اللاحقة الداخلية وتشير إلى خادم متوقف تنتج الخطأ المرئي نفسه الذي ينتجه مسار مفقود. لاحقة بحث مفقودة من محول VPN تحول الاسم القصير إلى استعلام عام عن النطاق الخطأ. كل واحد منها يحتاج إصلاحًا مختلفًا.

لماذا يطرح المتصفح سؤالًا مختلفًا

يصدر nslookup استعلامه الخاص إلى الخادم الذي يختاره ولا يتبع سياسة فضاء الأسماء ولا إعداد DNS المشفر في المتصفح. لهذا يجيب استعلام يدوي موجه إلى محلل عام بينما يبلغ المتصفح أن الموقع غير موجود. أنت تقارن برنامجين، لا حالتين لبرنامج واحد.

تفضيل عائلة العناوين يفسر التأخير لا الفشل. المتصفح الذي يطلب سجلات IPv6 أولًا على نفق يحمل IPv4 فقط ينتظر انقضاء المهلة قبل أن يتراجع. حمل Firefox تفضيلًا لهذا الغرض بالتحديد، وتعطيله خطوة تشخيصية لا إصلاح.

اقرأ قائمة المحللات والقواعد

على Windows، اطبع ما يحتفظ به النظام قبل التنظير. يعرض Get-DnsClientServerAddress الخوادم لكل واجهة، ويسرد Get-DnsClientNrptRule قواعد فضاء الأسماء، ويجيب Resolve-DnsName عن الاسم الدقيق عبر مسار النظام. قارن تلك الإجابة باستعلام مباشر إلى خادم VPN بالعنوان. عندما يفشل Resolve-DnsName وينجح الاستعلام المباشر، تكون قائمة المحللات أو قاعدة فضاء أسماء هي المشتبه به.

افحص الاسم نفسه أيضًا. قد يحتاج الاسم الداخلي القصير إلى اللاحقة الخاصة التي يوفرها محول VPN فقط، بينما يُحل الاسم المؤهل بالكامل بلا مشكلة. تحذير الشهادة بعد بحث ناجح ينتمي إلى مشكلة أخرى.

المحلل المدفوع غير القابل للوصول

يمكن للبوابة أو العميل أن يدفع عنوان محلل، ويجب أن يكون ذلك العنوان قابلًا للوصول عبر النفق. في نفق منفصل قد لا يكون النطاق الخاص الذي يضم المحلل ضمن المسارات المضمنة، مما ينتج بحثًا لا يحصل على إجابة أبدًا. تأكد من وجود المسار، ثم استعلم ذلك العنوان تحديدًا عبر النفق. هذا هو الفشل وراء خطأ النطاق في المتصفح بينما لا يزال محلل عام يجيب.

إذا كان المحلل غير قابل للوصول، فالإصلاح مسار أو شبكة فرعية مضمنة، لا خادم DNS آخر.

DNS المشفر يتجاوز المسار كله

المتصفحات التي تستخدم DNS-over-HTTPS تحل الأسماء بنفسها عبر اتصال HTTPS بمزود مختار. عند تشغيل ذلك، يُتجاوز محلل النظام وقواعد DNS المنفصل تمامًا لتلك البحوث، لذا تفشل الأسماء الداخلية في المتصفح بينما يحلها نظام التشغيل بشكل صحيح. ويحدث العكس أيضًا: تنجح الأسماء الداخلية في المتصفح عبر مزود ما كان ينبغي أن يراها، وهذه مشكلة سياسة لا مشكلة اتصال.

قرر بوعي ما إذا كان DNS المشفر مسموحًا على الأجهزة المُدارة، ثم اضبطه عبر واجهة إدارة المتصفح ليكون الخيار ظاهرًا. ترك الأمر للتفضيل الفردي ينتج أسطولًا يتصرف فيه VPN نفسه بشكل مختلف على كل حاسوب محمول.

إصلاحات تطابق العطل

إذا كان VPN يدفع محلله، فاجعل النفق يحمل حركة المرور إليه واجعل الإعداد نفسه ظاهرًا على المحولات المشاركة في التحليل. إذا توقفت المواقع المحلية عن الحل أثناء الاتصال، فأضف استثناءات صريحة لفضاء الأسماء أو مُمرِّرًا شرطيًا بدل استبدال المحلل بالكامل. إذا كان DNS المشفر في المتصفح يتجاوز السياسة، فهذا هو الإعداد الذي يجب تغييره. لا تضف محللًا عامًا أبدًا لإصلاح اسم داخلي: فهو يسرب استعلامات خاصة ولا يحل الاسم.

ثم افصل البحث عن الاتصال. الاسم الذي يُحل إلى العنوان الصحيح لكنه يرفض الاتصال هو مشكلة خدمة أو جدار ناري أو شهادة، ولن تصلحها تغييرات DNS.

سجل أي مسار أجاب وأي مسار فشل وما الذي غيرته. عندها يستغرق التقرير التالي عن العرض نفسه أمرًا واحدًا بدلًا من بعد ظهر كامل.