Zašto Windows šalje vaša VPN imena na DNS server koji nikada niste postavili

Postavili ste DNS server na VPN adapteru, ponovo se povezali, a privatno ime se i dalje vraća sa uredskog rezolvera koji niko nije konfigurisao na ovom laptopu. Rezultat izgleda kao da je postavka zanemarena, i u izvjesnom smislu jeste, jer je spisak adaptera skup kandidata, a ne odluka. Windows razrješava imena kroz politiku imenskog prostora koja za određeni sufiks može odrediti drugi server, a ta politika se primjenjuje prije nego što se postavka adaptera uzme u obzir. Pronalaženje pravila koje je pobijedilo posao je od pet minuta kada znate koju tabelu čitati.

Šta ste promijenili i šta zaista odlučuje

DNS adresa na adapteru govori klijentu gdje bi taj interfejs mogao slati upite. Tabela politike razrješavanja imena govori klijentu gdje mora slati upite za dati imenski prostor, i procjenjuje se po imenu, a ne po adapteru. Kada pravilo odgovara sufiksu koji ste otkucali, koriste se serveri tog pravila i spisak adaptera prestaje biti važan za to pretraživanje.

Zato dva imena na istom laptopu mogu istog trenutka ići različitim putevima. Host pod korporativnim sufiksom slijedi svoje pravilo; javno ime slijedi zadani put, što obično znači onaj adapter koji prvi odgovori.

Kako tabela uparuje ime

Pravila su indeksirana po imenskom prostoru i pobjeđuje najkonkretnije poklapanje. Pravilo za corp.example primjenjuje se na vpn.corp.example i ne primjenjuje se na example.net. Pravilo s imenskim prostorom . pokriva sve što druga pravila ne pokrivaju, što ga čini najopasnijim unosom na spisku i onim koji vrijedi provjeriti kada se nepovezana stranica razrješava kroz tunel.

Pravilo može nositi i komentar, politiku koja onemogućuje unos, i sigurnosne postavke koje nemaju veze s DNS adresama. Onemogućeno pravilo ostaje vidljivo u konfiguraciji, ali nema dejstva, pa unos koji na papiru izgleda ispravno može ostati beživotan nakon promjene profila.

Čitajte djelotvornu tabelu, a ne spisak želja

Konfigurisana pravila i djelotvorna pravila dva su različita pitanja. Get-DnsClientNrptRule navodi šta postoji na mašini. Get-DnsClientNrptPolicy -Effective pokazuje šta će klijent zaista primijeniti, sa vrijednostima spojenim iz politike i lokalnih postavki.

Uporedite sufiks u tom izlazu s imenom koje testirate, znak po znak. Pravilo za corp.example ne hvata ime koje završava na corp.example.com, a tačka na kraju na jednom mjestu i njeno odsustvo na drugom dovoljni su da promijene poklapanje.

Bez pravila Windows pita više od jednog adaptera

Kada ništa u tabeli ne polaže pravo na ime, klijent može poslati upit kroz nekoliko interfejsa i uzeti prvi odgovor koji stigne. Rezultat zavisi od vremena: isto ime može se razriješiti s žičanog adaptera u ponedjeljak i s tunela u utorak, a ništa u konfiguraciji ni jednog adaptera ne objašnjava razliku.

Dva izlaza postoje. Dodajte pravilo za imenski prostor da odluka prestane biti trka, ili isključite paralelno ponašanje kroz politiku DNS klijenta i prihvatite sporije, determinističko razrješavanje. Prvo obično bolje odgovara VPN-u s razdvojenim tunelom, jer dokumentuje namjeru umjesto da se oslanja na redoslijed.

Putevi koji potpuno zaobilaze rezolver

Pregledač sa uključenim sigurnim DNS-om razrješava sam i daje Windowsu samo adresu, pa tabela pravila nikada ne vidi ime. Klijenti izgrađeni na okruženjima s vlastitim rezolverom mogu se ponašati isto. Kada se ime razriješi u jednoj aplikaciji, a ne uspije u drugoj na istoj mašini, uporedite dva puta razrješavanja prije nego dirnete politiku.

Provjerite i da li se aplikacija povezuje na keširanu adresu iz ranije sesije. Clear-DnsClientCache i zatim isto pretraživanje daje čistiji odgovor od zaključivanja iz zastarjelog rezultata.

Testirajte s imenom koje nije uspjelo

Razriješite tačno ime hosta iz izvještaja, a ne javni domen za test brzine, i zabilježite koji server je odgovorio. Zatim promijenite jednu stvar: pravilo, spisak adaptera ili dodjelu politike, i ponovite isto pretraživanje nakon ponovnog povezivanja da se primijenjeno stanje ponovo izgradi.

Ako se ime razriješi, a usluga i dalje odbija, prestanite uređivati DNS. Sljedeći koristan korak je adresa i put do nje, jer je razrješavanje imena već obavilo svoj posao.