VPN qoşulub, amma adlar uğursuz olur: DNS həqiqətən harada pozulur

Tunel açıqdır, ikon yaşıldır və hər brauzer vərəqi ad həllinin uğursuzluğunu bildirir. Bu mənzərəni üç fərqli mexanizm yaradır: rezolver əlçatmaz ola bilər, müştəri gözləmədiyiniz rezolverdən soruşa bilər, ya da yalnız şəxsi adlar uğursuz ola bilər. Tunel protokolunda hər hansı dəyişiklik etməzdən əvvəl onları ayırın, çünki hər biri fərqli yerdə təmir olunur. Aşağıdakı ardıcıllıq üçünü bir-birindən ayıran müşahidələrlə başlayır.

Axtarışın həqiqətən nəyə ehtiyacı var

Axtarışın üç şeyə ehtiyacı var: rezolver ünvanı, həmin ünvana marşrut və suala uyğun cavab. Hər biri təkbaşına uğursuz ola bilər və görünən simptom yüklənməyən eyni səhifədir. Buna görə xəta səhifəsi üçündən hansının pozulduğunu bilməyincə sizə demək olar ki, heç nə demir.

Müştəri rezolverini VPN profilindən, tuneldəki DHCP-dən və ya öz konfiqurasiyasından öyrənir və hansı mənbənin qalib gəlməsi platformadan asılıdır. Windows-da ipconfig /all hər adapter üzrə DNS serverlərini göstərir, beləliklə ötürülən dəyərin həqiqətən çatdığını görə bilərsiniz. Əməliyyat sisteminə heç vaxt çatmayan ötürülmüş dəyər səssiz və tez-tez rast gəlinən uğursuzluqdur. Profilə toxunmazdan əvvəl konfiqurasiya edilmiş dəyəri oxuyun.

Linux və macOS eyni suala fərqli əmrlərlə cavab verir və cavab eyni oxunuşu haqq edir: resolvectl status və scutil --dns hər ikisi serverləri interfeys üzrə sadalayır. Bu siyahını profilin ötürdüyünü iddia etdiyi ünvanla müqayisə edin. Buradakı uyğunsuzluq sonrakı hər şeyi izah edir, ona görə adları sınaqdan keçirməzdən əvvəl onu həll edin.

Bir ictimai və bir şəxsi adı sınaqdan keçirin

Adi ictimai host adını və sənədləşdirilmiş şəxsi host adını eyni maşından soruşun və hər birinə hansı serverin cavab verdiyini qeyd edin. İkisi də uğursuz olarsa, rezolver və ya onun marşrutu pozulub. Yalnız şəxsi ad uğursuz olarsa, rezolver cavab verib və sual zona və ya marşrutlaşdırma olur. İki sorğunu bir dəqiqə ərzində yerinə yetirin ki, marşrut dəyişikliyi fərqi izah edə bilməsin.

Daxili adları ictimai ekran görüntülərindən və ictimai rezolverlərdən kənarda saxlayın. Vaxt aşımı və mövcud olmayan domen cavabı fərqli müşahidələrdir: birincisi heç nə qayıtmadığını, ikincisi bir səlahiyyətin adın mövcud olmadığını bildirdiyini söyləyir. Onları bir xəta kimi qəbul etmək sizi səhv qata göndərir və sertifikat xəbərdarlığı yenə üçüncü bir şeydir, DNS uğursuzluğu deyil.

nslookup həm soruşduğu serveri, həm aldığı cavabı göstərir və bu, sizə lazım olan cütlüyün özüdür. Onu eyni terminalda iki dəfə işə salın və cavab verən ünvanı hər cavabın yanına yazın.

nslookup example.com
nslookup host.corp.example 10.20.30.53

Müştərinin o serverə həqiqətən çata bildiyini təsdiqləyin

Profil tərəfindən ötürülən şəxsi rezolver yalnız o zaman faydalıdır ki, müştəri tunel açıqkən ona çata bilsin. Düzgün görünən ünvan marşrutsuz vaxt aşımı yaradır və tunelin qoşulmuş vəziyyəti bu marşrut haqqında heç nə demir. Yoxlama VPN son nöqtəsinə deyil, rezolverin özünə yönəlmiş marşrut axtarışıdır.

Hər platforma buna bir sətirdə cavab verir və çıxışda göstərilən interfeys bütün cavabdır. Rezolver tunelin arxasında oturarkən o, fiziki adapterə işarə edirsə, profil onu əhatə edən prefiks ötürmür.

ip route get 10.20.30.53                      # Linux
route -n get 10.20.30.53                     # macOS
Find-NetRoute -RemoteIPAddress 10.20.30.53   # Windows PowerShell

Bölünmüş tunel profilində rezolver ötürülən marşrutlardan kənarda ola bilər, bu server deyil, profil problemidir. Rezolver ünvanını ötürülən prefikslərlə müqayisə edin və onlardan birinin onu əhatə etdiyini təsdiqləyin. Eyni uyğunsuzluq DNS-in bir şəbəkədə işləyib eyni profilli digərində niyə uğursuz olduğunu izah edir.

Unutmayın ki, brauzerlər sistem rezolverini yan keçə bilər

Təhlükəsiz DNS aktiv olan brauzer sorğuları HTTPS ilə öz seçdiyi provayderə göndərə və əməliyyat sisteminin rezolverini tamamilə nəzərə almaya bilər. Sonra sistem düzgün görünür, brauzer isə uğursuz olur, ya da əksi. Bu, tunel üçün deyil, brauzer üçün siyasət məsələsidir.

Brauzerin təhlükəsiz DNS parametrini və onu idarə edən istənilən idarəolunan siyasəti yoxlayın, sonra tunel dəyişməz qalmaqla ikinci tətbiq və ya brauzer sınayın. Yalnız bir tətbiq uğursuz olarsa, düzəliş həmin tətbiqə aiddir. Şəxsi pəncərə təmiz müqayisə deyil, çünki bir brauzerdə genişlənmələri standart olaraq söndürə bilər, digərində yox, və o, idarəolunan siyasəti heç vaxt yan keçmir. Əvəzində ikinci brauzer profili və ya fərqli tətbiq istifadə edin.

Keşi təmizləyin və əsl tapşırığı yenidən sınayın

Parametri düzəltdikdən sonra yerli rezolver keşini təmizləyin ki, köhnə cavab düzəlişdən uzun yaşamasın. Qısa bərpa və ardınca yeni uğursuzluq səbəbin hələ də mövcud olduğunu bildirir, təmizləmənin uğursuz olduğunu yox. Üç keş ayrı olduğu üçün istifadə etdiyiniz maşına uyğun sətri seçin.

ipconfig /flushdns                 # Windows
resolvectl flush-caches            # Linux
sudo killall -HUP mDNSResponder    # macOS

Sonra sintetik axtarış əvəzinə ilkin tapşırığı təkrarlayın, çünki istifadəçini maraqlandıran tapşırıqdır. Bir dəfə də yenidən qoşulun ki, təkrar sınaq istifadəçinin həqiqətən olacağı vəziyyəti əhatə etsin. Microsoft-un nslookup arayışı sorğu arqumentləri üçün saxlamalı olduğunuz səhifədir.

Adlar yalnız bağlantı kəsildikdən sonra uğursuz olursa, müştəri əvvəlki konfiqurasiyanı bərpa etməyib, bu, DNS serverini dəyişmək əvəzinə bildirməli olduğunuz həyat dövrü xətasıdır. İşləyən axtarış da sızma testi deyil, çünki çıxış ölkəsi hansı rezolverin cavab verdiyini sizə demir.