Чаму DNS перастае працаваць пасля падключэння OpenVPN у Windows

Ping да офіснага рэзалвера ўсё яшчэ атрымлівае адказ пасля падключэння "OpenVPN", але кожны пошук імені ўсё роўна правальваецца. Адрас дасяжны, а порт не, і гэтае спалучэнне мае сэнс, калі ведаць, што Windows можа фільтраваць DNS па адаптары. Калі ў профілі ёсць block-outside-dns, гэты фільтр першы падазроны, а табліца маршрутаў няправільнае месца для пошуку. Два тэсты ніжэй раздзяляюць узроўні за секунды.

Дасяжны адрас, мёртвы порт

Паспяховы ping даказвае, што хост працуе і шлях існуе. Ён нічога не кажа пра дазвол да порта 53, бо фільтр, пра які ідзе гаворка, працуе на іншым узроўні і прывязаны да адаптара. Таму адна і тая ж машына можа адказваць на ICMP і адхіляць любы запыт на той жа адрас. Запусціце абодва тэсты ў адной сесіі, перш чым змяняць любыя налады.

ping <resolver-ip>
nslookup <name> <resolver-ip>

Гэтая пара і ёсць дыягназ. Звычайны трафік да падсеткі працягвае працаваць, пакуль развязанне імёнаў памірае, і людзі робяць выснову, што сервер зламаны або што DNS ніколі не перадаваўся. Абодва тлумачэнні патрабуюць дарагіх пошукаў, а доказы паказваюць на нешта вузейшае. Пацвердзіце пару, перш чым чапаць наладу.

Гэтая опцыя правіла платформы фільтравання

Даведка OpenVPN апісвае block-outside-dns як абмежаванне Windows Filtering Platform, якое не дазваляе праграмам дасягаць DNS на адаптарах па-за тунэлем. Яно ахоплівае TCP і UDP, порт 53. Паколькі фільтр жыве ў WFP, а не ў звычайным спісе правілаў брандмаўэра, даданне дазваляльнага правіла ў іншым месцы не абавязкова зменіць вынік. Таму звычайная парада дазволіць DNS працягвае не спрацоўваць.

Налада можа прыйсці з імпартаванага профілю або з сервера, і файл, які вы апошні раз рэдагавалі, "не з’яўляецца доказам таго, што загрузіў кліент". Чытайце эфектыўную канфігурацыю і журнал падключэння разам. Гэтая опцыя таксама спецыфічная для Windows, і стаўленне да яе як да пераноснай дае парады, якія не прымяняюцца.

Шукайце кліенцкі кампанент, які валодае абмежаваннем, замест таго каб дадаваць новыя правілы. Уладальнік гэта тое, што сапраўды можа яго выдаліць.

Фільтр гэта не рэзалвер

Блакаванне трафіку па-за тунэлем не ўсталёўвае працоўны рэзалвер унутры яго. Опцыя выдаляе шлях і пакідае канфігурацыю DNS тунэля таму, хто наладзіў профіль. Профіль, які ніколі не перадаваў рэзалвер, цяпер не мае яго зусім.

Прайдзіце тры праверкі па парадку. Першая які рэзалвер насамрэч выкарыстоўвае праграма, што не працуе. Другая ці прымяніў кліент налады VPN DNS. Трэцяя які інтэрфейс нясе трафік да гэтага рэзалвера.

1. Рэзалвер у выкарыстанні: параўнайце Resolve-DnsName -Server <resolver-ip> <name> з DNS-серверамі, пералічанымі ў ipconfig /all.
2. VPN DNS прымяняны: паглядзіце запісы DNS адаптара тунэля ў тым жа вывадзе ipconfig /all.
3. Інтэрфейс у выкарыстанні: Find-NetRoute -RemoteIPAddress <resolver-ip> паказвае выходны інтэрфейс для гэтага адрасата.

LAN-рэзалвер становіцца недасяжным па задуме пры гэтай палітыцы, нават калі іншы LAN-трафік працуе. Гэта опцыя робіць сваю працу. Калі задума патрабуе VPN DNS, выпраўце рэгістрацыю рэзалвера і шлях тунэля; калі патрэбен split DNS з лакальнымі выключэннямі, уладальнік канфігурацыі павінен выразіць гэтыя выключэнні падтрыманым спосабам.

Што опцыя не пакрывае

Порт 53 гэта не ўсё развязанне імёнаў. DNS over HTTPS і DNS over TLS выкарыстоўваюць іншыя транспарты, а некаторыя праграмы запускаюць уласную логіку рэзалвера незалежна ад сістэмных налад. Таму браўзер можа развязваць імёны, а камандны радок не.

Разглядайце гэтую розніцу як дыягностыку, а не як супярэчнасць. Параўнайце абедзве, перш чым вырашыць, што сістэмны рэзалвер зламаны.

Трымайце выснову вузкай, калі запісваеце яе. Гэтая опцыя абмяжоўвае адзін транспарт на адной платформе, а астатняя частка шляху развязання асобнае пытанне дызайну са сваім уладальнікам.

Праверце стан да і пасля адключэння

Запусціце той жа пошук падчас падключэння і яшчэ раз пасля таго, як адключыцца кліент-уладальнік. Першы павінен праваліцца для знешняга рэзалвера, пакуль тунэль узняты, а другі павінен атрымацца, як толькі фільтр будзе зняты. Калі пасля адключэння ён усё яшчэ правальваецца, фільтр не быў ачышчаны.

ipconfig /displaydns
nslookup <name> <resolver-ip>

Перазапуск службы кліента або машыны звычайна ачышчае састарэлы фільтр. Гэта пацвярджае дыягназ, але не даказвае пастаяннае выпраўленне. Запішыце ўбачанае, бо фільтр, які перажывае адключэнне, зробіць гэта зноў, і менавіта запіс апраўдвае справаздачу пра памылку.

Толькі пасля гэтых праверак мае сэнс замяніць рэзалвер або перабудаваць палітыку брандмаўэра. Абодва большыя змены, чым падтрымліваюць доказы.