Уцечка DNS праз VPN у Windows: чаму метрыка важнейшая за маршрут

Запыт пакідае машыну і дасягае хатняга роўтара, хаця кожны пакет ідзе праз тунель. Натуральная выснова — адсутны маршрут, а маршрут звычайна ў парадку. Windows можа выбіраць, рэзалютар якога інтэрфейсу апытваць, па метрыцы інтэрфейсу, і тунельны адаптар часта прайграе гэтае параўнанне бесправоднаму.

Два тлумачэнні адной уцечкі

Тлумачэнне праз маршруты кажа, што частка трафіку ўцякае з тунеля, значыць маршрут па змаўчанні або спіс раздзеленага тунеля памылковыя. Гэтае тлумачэнне правяраецца адной камандай, і калі маршрут па змаўчанні паказвае ў тунель, пытанне закрытае. Праверце яго першым, бо гэта танна, а потым адкладзіце, калі ён вернецца чыстым.

Тлумачэнне праз рэйтынг кажа, што трафік цалкам у тунелі, а запыт усё яшчэ ідзе да іншага рэзалютара. Windows разглядае выбар рэзалютара як уласцівасць кожнага інтэрфейсу з парадкам, таму фізічны адаптар з лепшай метрыкай можа даць DNS для імені, нават калі пакеты да атрыманага адраса ідуць праз тунель. Абодва тлумачэнні даюць аднолькавы сімптом на старонцы тэсту ўцечкі, таму тэст не з’яўляецца дыягназам. Толькі адно з іх выпраўляецца рэдагаваннем маршрутаў.

Параўноўвайце метрыкі і рэзалютары разам

Запішыце інтэрфейсы, іх метрыкі і наладжаныя серверы, пакуль тунель уключаны. Чытайце гэта як табліцу, а не як два асобныя спісы, бо пытанне ў тым, які рэзалютар стаіць першым, а не якія рэзалютары існуюць.

Get-NetIPInterface -AddressFamily IPv4 | Sort-Object InterfaceMetric | Select-Object InterfaceIndex, InterfaceAlias, InterfaceMetric
Get-DnsClientServerAddress -AddressFamily IPv4 | Select-Object InterfaceAlias, ServerAddresses

Калі тунельны адаптар мае вышэйшы лік, чым фізічны, ягоны рэзалютар не мае перавагі, і ўнутранае імя пойдзе да таго, што прапануе фізічны бок. Гэты роўтар можа адказаць з кэша, пераслаць запыт далей або адмовіць, і ні адзін з гэтых вынікаў не з’яўляецца той схемай, якую вы задумалі. Рэйтынг — гэта перавага, таму ён ціха прайграе, а не выдае памылку.

Тунельны адаптар без зусім наладжанага рэзалютара — не менш распаўсюджаны варыянт. Кліент узнімае інтэрфейс, не перадаючы DNS, таму пытанне рэйтынгу нават не ўзнікае.

Падніміце тунель у рэйтынгу і пераправерце

Дайце тунельнаму інтэрфейсу найніжэйшую метрыку або падвышце значэнне фізічнага адаптара ў прывілеяванай абалонцы. Абодва — налады асобнага інтэрфейсу і абодва зваротныя, што важна, калі вы змяняеце машыну, перад якой можа вас і няма.

Set-NetIPInterface -InterfaceIndex 27 -InterfaceMetric 1
Get-NetIPInterface -AddressFamily IPv4 | Sort-Object InterfaceMetric

Змена бачная адразу, а кліент DNS і іншыя спажыўцы кэшуюць ужо зроблены выбар. Перападключыце тунель або перазапусціце сістэму, перш чым рабіць высновы з выніку запыту. Тэст, праведзены занадта рана, паўторыць старыя паводзіны і будзе выглядаць як няўдалае выпраўленне.

Затым запытайце адно ўнутранае і адно публічнае імя і праверце, які сервер адказаў. Даведнік Microsoft даведнік пра аўтаматычныя метрыкі тлумачыць, чаму найніжэйшае значэнне мае перавагу і як выводзіцца аўтаматычнае прызначэнне.

Зрабіце так, каб яно перажыло перападлучэнне

Метрыка, зададзеная ўручную на адаптары, які ствараецца нанова пры кожным злучэнні, — гэта налада, якая знікае. Калі кліент перабудоўвае інтэрфейс, перакрыццё патрабуе скрыпта пасля злучэння, палітыкі або канфігурацыі кліента, якая валодае DNS падчас злучэння.

Статычна наладжаныя серверы на фізічным адаптары маюць тую ж праблему даўгавечнасці наадварот. Яны працягваюць адказваць за гэты інтэрфейс, пакуль іх не выдаляць, а DHCP зноў запоўніць іх з наступнай арэнды, таму выдаленне — гэта вымярэнне, а не схема. Устойлівая схема — палітыка развязання імёнаў для ўнутранай прасторы імёнаў або кліент, які бярэ на сябе DNS на ўвесь час злучэння. Як бы там ні было, запішыце спіс рэзалютараў да і пасля перападлучэння, аднавіце зыходную метрыку, калі скончыце тэставанне, і пацвердзіце, што ранейшыя паводзіны вярнуліся.