Защо nslookup работи през VPN, а браузърът не

nslookup изпраща заявка до сървъра, който посочите, и отпечатва отговора — затова може да успее, докато всеки раздел на браузъра се проваля. Браузърът иска от операционната система да разреши името, а системата претегля резолверите на всеки интерфейс, правилата за политика на разрешаване на имена и мрежовото местоположение на адаптера. След това браузърът може да добави свой шифрован DNS. Три различни пътя, един симптом, и тунелът обикновено не е счупената част.

Проверките по-долу следват тези пътища от системата навън. Не редактирайте профила на VPN, докато не разберете кой път е отговорил и кой се е провалил.

Три политики решават отговора

Всеки интерфейс носи свой списък с резолвери и суфикси за търсене. VPN адаптерът добавя сървъри, докато физическият адаптер запазва своите, и системата може да вземе този, който отговори първи, така че едно търсене може да бъде обслужено извън тунела, без никой да го е избирал. Правилата на таблицата за политика на разрешаване на имена могат да изпращат избрани домейни към избрани сървъри — така обикновено се изразява разделеният DNS в Windows. А VPN клиентът или шлюзът може да изпрати адрес на резолвер, който съществува само в частната мрежа.

Тези три взаимодействат по начин, който от браузъра изглежда произволен. Изпратен резолвер на частен адрес без маршрут през разделения тунел кара всяко търсене да забие и след това да се провали. Правило, обхващащо вътрешния суфикс и сочещо към спрян сървър, дава същата видима грешка като липсващ маршрут. Липсващ в VPN адаптера суфикс за търсене превръща краткото име в публична заявка за грешния домейн. Всяко от тях изисква различен ремонт.

Защо браузърът задава друг въпрос

nslookup издава собствена заявка до избрания от него сървър и не следва нито политиката на пространството от имена, нито настройката за шифрован DNS на браузъра. Затова ръчна заявка към публичен резолвер отговаря, докато браузърът съобщава, че сайтът не съществува. Сравнявате две програми, а не две състояния на една програма.

Предпочитанието към семейство адреси обяснява забавяне, а не провал. Браузър, който първо пита за записи IPv6 в тунел, пренасящ само IPv4, чака изтичане на времето, преди да отстъпи. Firefox е имал точно такава настройка и изключването ѝ е диагностична стъпка, а не ремонт.

Прочетете списъка с резолвери и правилата

В Windows изведете това, което системата държи, преди да теоретизирате. Get-DnsClientServerAddress показва сървърите по интерфейс, Get-DnsClientNrptRule изброява правилата на пространството от имена, а Resolve-DnsName отговаря на точното име през системния път. Сравнете този отговор с директна заявка към сървъра на VPN по адрес. Когато Resolve-DnsName се провали, а директната заявка успее, заподозрени са списъкът с резолвери или правило на пространството от имена.

Проверете и самото име. Вътрешно кратко име може да се нуждае от частния суфикс, който дава само VPN адаптерът, докато напълно квалифицираното име се разрешава добре. Предупреждение за сертификат след успешно търсене принадлежи на друг проблем.

Недостижимият изпратен резолвер

Шлюзът или клиентът може да изпрати адрес на резолвер и този адрес трябва да е достижим през тунела. При разделен тунел частният диапазон, съдържащ резолвера, може да не е сред включените маршрути, което дава търсене без отговор. Потвърдете, че маршрутът съществува, след което заявете точно този адрес през тунела. Това е провалът зад грешка за домейн в браузъра, докато публичен резолвер още отговаря.

Ако резолверът е недостижим, ремонтът е маршрут или включена подмрежа, а не друг DNS сървър.

Шифрованият DNS заобикаля целия път

Браузърите с DNS-over-HTTPS разрешават имената сами през HTTPS връзка към избран доставчик. Когато това е включено, системният резолвер и правилата за разделен DNS се заобикалят напълно за тези търсения, така че вътрешните имена се провалят в браузъра, докато операционната система ги разрешава правилно. Случва се и обратното: вътрешни имена успяват в браузъра през доставчик, който никога не би трябвало да ги вижда — това е проблем на политика, а не на свързаност.

Решете съзнателно дали шифрованият DNS е разрешен на управлявани устройства, след което го конфигурирайте през интерфейса за управление на браузъра, за да е видим изборът. Оставянето му на индивидуални предпочитания създава парк, в който един и същ VPN се държи различно на всеки лаптоп.

Ремонти, съответстващи на провала

Ако VPN изпраща своя резолвер, накарайте тунела да носи трафик до него и направете същата настройка видима на адаптерите, участващи в разрешаването. Ако локалните сайтове спрат да се разрешават при свързване, добавете явни изключения на пространството от имена или условен препращач, вместо да подменяте резолвера изцяло. Ако шифрованият DNS на браузъра заобикаля политиката, това е настройката за промяна. Никога не добавяйте публичен резолвер, за да поправите вътрешно име: той изтича частни заявки и не разрешава името.

След това отделете търсенето от връзката. Име, което се разрешава до правилния адрес, но отказва връзка, е проблем на услуга, защитна стена или сертификат и промени в DNS няма да го поправят.

Запишете кой път е отговорил, кой се е провалил и какво сте променили. Тогава следващият доклад за същия симптом ще отнеме една команда вместо следобед.