Per què Windows envia els noms de la VPN a un servidor DNS que no vas configurar mai

Configureu el servidor DNS a l'adaptador de la VPN, torneu a connectar-vos i el nom privat continua tornant del resolutor de l'oficina que ningú no ha configurat en aquest portàtil. El resultat sembla que la configuració s'hagi ignorat, i en un sentit així és, perquè la llista d'adaptadors és un conjunt de candidats i no una decisió. Windows resol els noms mitjançant una política d'espai de noms que pot designar un altre servidor per a un sufix concret, i aquesta política s'aplica abans que es consulti la configuració de l'adaptador. Trobar la regla que ha guanyat és una feina de cinc minuts quan saps quina taula cal llegir.

Què has canviat i què decideix realment

L'adreça DNS d'un adaptador diu al client on pot enviar consultes aquesta interfície. La taula de polítiques de resolució de noms diu al client on ha d'enviar les consultes per a un espai de noms determinat, i s'avalua per nom, no per adaptador. Quan una regla coincideix amb el sufix que has escrit, s'usen els servidors de la regla i la llista d'adaptadors deixa de tenir importància per a aquesta consulta.

Per això dos noms al mateix portàtil poden seguir camins diferents en el mateix moment. Un equip sota el sufix corporatiu segueix la seva regla; un nom públic segueix el camí per defecte, que normalment vol dir l'adaptador que respon primer.

Com la taula fa coincidir un nom

Les regles s'indexen per espai de noms i guanya la coincidència més específica. Una regla per a corp.example s'aplica a vpn.corp.example i no s'aplica a example.net. Una regla amb l'espai de noms . cobreix tot el que no cobreixen les altres regles, cosa que la converteix en l'entrada més perillosa de la llista i la que val la pena comprovar quan un lloc no relacionat es resol pel túnel.

Una regla també pot portar un comentari, una política que desactiva l'entrada i paràmetres de seguretat que no tenen res a veure amb adreces DNS. Una regla desactivada continua visible a la configuració sense cap efecte, així que una entrada que sobre el paper sembla correcta pot quedar inerta després d'un canvi de perfil.

Llegeix la taula efectiva, no la llista de desitjos

Les regles configurades i les regles efectives són dues preguntes diferents. Get-DnsClientNrptRule llista què hi ha a la màquina. Get-DnsClientNrptPolicy -Effective mostra què aplicarà realment el client, amb els valors fusionats de la política i la configuració local.

Compara el sufix d'aquesta sortida amb el nom que proves, caràcter per caràcter. Una regla per a corp.example no captura un nom que acaba en corp.example.com, i un punt final en un lloc i no a l'altre n'hi ha prou per canviar la coincidència.

Sense cap regla, Windows pregunta més d'un adaptador

Quan res de la taula no reclama el nom, el client pot enviar la consulta per diverses interfícies i quedar-se amb la primera resposta que arribi. El resultat depèn del moment: el mateix nom es pot resoldre des de l'adaptador cablejat dilluns i des del túnel dimarts, i res de la configuració de cap dels dos adaptadors no explica la diferència.

Hi ha dues sortides. Afegeix una regla per a l'espai de noms perquè la decisió deixi de ser una cursa, o desactiva el comportament paral·lel mitjançant la política de client DNS i accepta la resolució més lenta i determinista. La primera sol encaixar millor en una VPN amb túnel dividit, perquè documenta la intenció en lloc de dependre de l'ordre.

Camins que es salten el resolutor del tot

Un navegador amb DNS segur activat resol per compte propi i només dona l'adreça a Windows, així que la taula de regles no veu mai el nom. Els clients fets sobre entorns amb resolutor propi poden comportar-se igual. Quan un nom es resol en una aplicació i falla en una altra de la mateixa màquina, compara els dos camins de resolució abans de tocar la política.

Comprova també si l'aplicació es connecta a una adreça en memòria cau d'una sessió anterior. Clear-DnsClientCache i després la mateixa consulta dona una resposta més neta que deduir-la d'un resultat antic.

Prova amb el nom que ha fallat

Resol el nom d'amfitrió exacte de l'informe, no un domini públic de prova de velocitat, i anota quin servidor ha respost. Després canvia una cosa: la regla, la llista d'adaptadors o l'assignació de política, i repeteix la mateixa consulta després de tornar a connectar perquè l'estat aplicat es torni a construir.

Si el nom es resol i el servei encara refusa, deixa d'editar el DNS. El següent pas útil és l'adreça i la ruta fins a ella, perquè la resolució de noms ja ha fet la seva feina.