Zašto DNS prestaje raditi nakon povezivanja OpenVPN-a na Windowsu

Resolver još odgovara na ping dok port 53 nikamo ne vodi. Provjerite filtrira li block-outside-dns, zatim osigurajte resolver do kojeg tunel može doći.

Ping na uredski resolver još dobija odgovor nakon spajanja na "OpenVPN", a svaka pretraga imena ipak ne uspijeva. Adresa je dostupna dok port nije, kombinacija koja ima smisla kada znate da Windows može filtrirati DNS po adapteru. Uz block-outside-dns u profilu, taj filter je prvi osumnjičeni, a tabela ruta je pogrešno mjesto za traženje. Dva testa ispod razdvajaju slojeve u sekundama.

Dostupna adresa, mrtav port

Uspješan ping dokazuje da je host živ i da put postoji. Ništa ne govori o dozvoli za port 53, jer dotični filter radi na drugom sloju i zavisi od adaptera. Zato isto računalo može odgovoriti na ICMP i odbiti svaki upit poslan na istu adresu. Pokrenite oba testa u istoj sesiji prije nego promijenite bilo koju konfiguraciju.

ping <resolver-ip>
nslookup <name> <resolver-ip>

Taj par je dijagnoza. Običan promet prema podmreži nastavlja raditi dok razrješavanje imena umire, pa ljudi zaključe da je server pokvaren ili da DNS nikad nije poslan. Oba objašnjenja su skupa za praćenje, a dokazi pokazuju na nešto uže. Potvrdite par prije nego dirnete postavku.

Opcija je pravilo platforme za filtriranje

OpenVPN referenca opisuje block-outside-dns kao ograničenje Windows Filtering Platform koje sprječava aplikacije da dohvate DNS na adapterima izvan tunela. Pokriva TCP i UDP port 53. Budući da filter živi u WFP-u, a ne u uobičajenom spisku pravila vatrozida, dodavanje pravila za dopuštanje negdje drugdje ne mijenja nužno ishod. Zato uobičajeni savjet da se dopusti DNS i dalje ne uspijeva.

Postavka može doći iz uvezenog profila ili sa servera, a datoteka koju ste posljednju uređivali "nije dokaz šta je klijent učitao". Čitajte efektivnu konfiguraciju i dnevnik veze zajedno. Opcija je i specifična za Windows, a tretiranje kao prenosive daje savjete koji se ne primjenjuju.

Tražite klijentsku komponentu koja posjeduje ograničenje umjesto da dodajete još pravila. Vlasnik je ono što to zaista može ukloniti.

Filter nije resolver

Blokiranje prometa izvan tunela ne instalira radni resolver unutar njega. Opcija uklanja put i ostavlja DNS konfiguraciju tunela onome ko je postavio profil. Profil koji nikad nije poslao resolver sada ga uopšte nema.

Prođite kroz tri provjere po redu. Prvo, koji resolver zapravo koristi aplikacija koja ne uspijeva. Drugo, da li je klijent primijenio VPN DNS postavke. Treće, koje sučelje nosi promet do tog resolvera.

  1. Resolver u upotrebi: uporedite Resolve-DnsName -Server <resolver-ip> <name> sa DNS serverima koje navodi ipconfig /all.
  2. VPN DNS primijenjen: pregledajte DNS unose tunelskog adaptera u istom izlazu ipconfig /all.
  3. Korišteno sučelje: Find-NetRoute -RemoteIPAddress <resolver-ip> imenuje odlazno sučelje za tu destinaciju.

LAN resolver postaje nedostupan po dizajnu pod ovom politikom, čak i dok drugi LAN promet radi. To je opcija koja radi svoj posao. Ako dizajn treba VPN DNS, popravite registraciju resolvera i put tunela; ako je potreban split DNS s lokalnim izuzecima, vlasnik konfiguracije mora te izuzetke izraziti na podržan način.

Šta opcija ne pokriva

Port 53 nije cijelo razrješavanje imena. DNS over HTTPS i DNS over TLS koriste različite transporte, a neke aplikacije pokreću vlastitu logiku resolvera bez obzira na sistemske postavke. Zato pretraživač može razriješiti imena dok komandna linija ne može.

Tretirajte tu razliku kao dijagnostiku, a ne kao proturječnost. Uporedite oboje prije nego zaključite da je sistemski resolver pokvaren.

Držite zaključak uskim kada ga zapisujete. Ova opcija ograničava jedan transport na jednoj platformi, a ostatak puta razrješavanja je odvojeno dizajnersko pitanje sa svojim vlasnikom.

Provjerite stanje prije i poslije prekida veze

Pokrenite istu pretragu tokom veze i ponovo nakon što se klijent vlasnik odspoji. Prva bi trebala ne uspjeti za vanjski resolver dok je tunel podignut, a druga bi trebala uspjeti kad se filter ukloni. Ako i dalje ne uspijeva nakon odspajanja, filter nije očišćen.

ipconfig /displaydns
nslookup <name> <resolver-ip>

Restartovanje klijentske usluge ili računala obično čisti zastarjeli filter. To potvrđuje dijagnozu bez dokazivanja trajnog rješenja. Zapišite šta ste vidjeli, jer filter koji preživi odspajanje učinit će to ponovo, a zapis je ono što opravdava prijavu greške.

Tek nakon tih provjera ima smisla zamijeniti resolver ili ponovo izgraditi politiku vatrozida. Oboje su veće promjene nego što ih dokazi podržavaju.

Povezani članci