Qui aplica realment la configuració DNS d’OpenConnect a Windows?
Windows guarda l’estat del resolutor en tres llocs. Trobeu l’ajudant que posseeix la connexió abans d’editar a mà el DNS de l’adaptador o d’afegir una regla d’espai de noms.
Aixecar el túnel no és el mateix que instal·lar-ne els valors DNS. OpenConnect negocia i un ajudant del costat de Windows aplica. La diferència entre aquests dos passos explica la majoria de fallades de noms privats en aquest client, i l’ajudant gairebé mai no és la pàgina de configuració de la VPN de Windows.
Separeu què ha ofert la passarel·la del que Windows ha instal·lat
El client lliura les dades de connexió a una interfície d’script, i les variants d’Unix i Windows són programes separats. A Windows la implementació sol ser un ajudant JavaScript que llegeix variables com ara el servidor DNS intern i el domini intern abans de tocar cap adaptador. Res dins del túnel no escriu l’estat del resolutor.
Aquesta divisió importa perquè un valor pot existir en la negociació i no arribar mai a l’adaptador. Un ajudant que falta, que falla a mig camí o que és una còpia antiga inclosa dins d’un embolcall GUI deixa Windows exactament com estava. La sessió sembla connectada, el nom privat encara es resol pel proveïdor local i res a la finestra del client no indica la diferència. Llegir la sortida pròpia de l’ajudant és l’única manera fiable de saber quina etapa s’ha trencat.
| Stage | What exists there | Where you see it |
|---|---|---|
| Negotiated | Internal DNS address and domain pushed by the gateway | Client log or helper input |
| Installed | Adapter DNS entry, connection suffix, or namespace rule | Adapter and policy queries |
| Selected | Resolver Windows uses for one specific query | The failing application |
Un embolcall GUI pot portar la seva pròpia còpia del client i de l’ajudant, així que un segon openconnect.exe en un altre lloc del disc no demostra res. Trobeu l’executable que va iniciar la sessió abans de jutjar-ne la configuració.
Llegiu l’estat del resolutor sense canviar-lo
Tres consultes només de lectura cobreixen la confusió habitual, i cadascuna respon una pregunta diferent:
Get-DnsClientServerAddress -AddressFamily IPv4
Get-DnsClient | Select-Object InterfaceAlias, ConnectionSpecificSuffix
Get-DnsClientNrptPolicy -EffectiveUn servidor a nivell d’adaptador és el que la majoria de la gent entén per DNS de VPN. Un sufix específic de connexió decideix si un nom curt s’expandeix o no. La llista de polítiques d’espai de noms s’aplica als noms coincidents independentment de l’ordre dels adaptadors, i un resultat buit allà no és cap defecte quan l’ajudant mai no ha volgut crear-ne un. Llegir els tres abans d’editar és el que evita una reparació que només mou el símptoma a un altre lloc.
Comenceu pel nom completament qualificat. Si l’FQDN es resol i el nom curt no, la mancança és el sufix o la llista de cerca, no l’adreça del servidor.
Consulteu el servidor previst directament com a segon pas, amb qualsevol eina de resolutor que ja estigui instal·lada. Una resposta directa demostra que el servidor és accessible i autoritatiu per a la zona. No demostra res sobre quin servidor pregunta una aplicació per defecte.
Anomeneu el component que posseeix la connexió
Dues disposicions són habituals. Un client iniciat des d’un terminal passa la seva ruta d’script explícitament, així que el propietari és visible a l’ordre que s’ha executat. Una aplicació empaquetada inicia el client per vosaltres i guarda l’ajudant dins del seu directori, cosa que significa que el proveïdor decideix quan canvia.
Compareu les versions de l’ajudant entre instal·lacions abans de canviar res. Executar amb drets elevats un ajudant baixat d’un mirall perquè el nom del fitxer sembla familiar converteix una mancança de DNS en un incident de seguretat.
Un cop conegut el propietari, l’objectiu de la reparació és obvi: una ruta d’script suportada a l’iniciador, una actualització del paquet o un perfil corregit a la passarel·la. Cap d’aquests no requereix editar a mà les propietats de l’adaptador.
Repareu el propietari, no l’adaptador
El DNS posat a mà a l’adaptador sovint sobreviu a la desconnexió, i per això sembla que funcioni i després causa problemes a la xarxa següent. Un resolutor públic cargolat a cada interfície amaga el problema de l’espai de noms privat en lloc de resoldre’l. Quan l’ajudant no ha rebut mai cap valor DNS, el perfil de la passarel·la és el lloc on mirar. Quan n’ha rebut un i l’adaptador encara mostra el servidor antic, l’ajudant ha fallat durant la connexió i el registre del client normalment ho anota a prop de les línies de configuració del túnel.
Reconstruïu l’estat pel camí suportat i després verifiqueu un cicle sencer: connecteu, resoleu l’FQDN privat, obriu el servei, desconnecteu i confirmeu que l’adaptador ha tornat amb els servidors anteriors.
Comproveu l’aplicació que realment falla
Un navegador amb la seva pròpia configuració de DNS xifrat ignora tot l’anterior i continua responent des d’un resolutor públic. Una aplicació que guarda una resposta negativa en memòria cau d’abans que pugés el túnel es comporta igual. Compareu-la amb una consulta de sistema simple a la mateixa màquina abans de tornar a canviar les adreces del resolutor.
Si la consulta del sistema és correcta i l’aplicació no, la fallada restant és dins de la configuració DNS d’aquesta aplicació, no al camí de la VPN.