Fuita de DNS amb VPN a Windows: per què la mètrica guanya la ruta

Una consulta surt de la màquina i arriba al router de casa mentre cada paquet es tunelitza. La conclusió natural és que falta una ruta, i la ruta normalment està bé. Windows pot triar quin resolutor d’interfície consultar segons la mètrica, i un adaptador de túnel sovint perd aquesta comparació amb el sense fils.

Dues explicacions per a una fuita

L’explicació per rutes diu que una part del trànsit s’escapa del túnel, així que la ruta per defecte o la llista del túnel dividit deuen estar malament. Aquesta explicació es pot provar amb una sola ordre, i quan la ruta per defecte apunta dins del túnel ja està resolta. Comproveu-la primer perquè és barata, i després deixeu-la de banda quan torni neta.

L’explicació pel rànquing diu que el trànsit està del tot dins del túnel i que la consulta encara s’envia a un altre resolutor. Windows tracta la tria del resolutor com una propietat de cada interfície amb un ordre, així que un adaptador físic amb millor mètrica pot subministrar DNS per a un nom encara que els paquets de l’adreça resolta viatgin pel túnel. Totes dues explicacions donen el mateix símptoma en una pàgina de prova de fuites, per això la prova no és el diagnòstic. Només una es repara editant rutes.

Compareu mètriques i resolutors junts

Anoteu les interfícies, les seves mètriques i els servidors configurats mentre el túnel està actiu. Llegiu-ho com una taula i no com dues llistes separades, perquè la pregunta és quin resolutor va primer, no quins resolutors existeixen.

Get-NetIPInterface -AddressFamily IPv4 | Sort-Object InterfaceMetric | Select-Object InterfaceIndex, InterfaceAlias, InterfaceMetric
Get-DnsClientServerAddress -AddressFamily IPv4 | Select-Object InterfaceAlias, ServerAddresses

Si l’adaptador de túnel porta un número més alt que l’adaptador físic, el seu resolutor no és preferit, i un nom intern anirà cap al que ofereixi el costat físic. Aquell router pot respondre des de la memòria cau, reenviar la consulta o refusar-la, i cap d’aquestes sortides no és el disseny que volíeu. El rànquing és una preferència, així que perd en silenci en lloc de generar un error.

Un adaptador de túnel sense cap resolutor configurat és una variant igual de freqüent. El client aixeca la interfície sense empènyer el DNS, així que la pregunta del rànquing ni tan sols es planteja.

Pugeu el túnel a la llista i torneu a comprovar

Doneu a la interfície del túnel la mètrica més baixa, o apugeu el valor de l’adaptador físic, en un shell elevat. Totes dues són opcions per interfície i totes dues són reversibles, cosa que importa quan canvieu una màquina davant de la qual potser no sou.

Set-NetIPInterface -InterfaceIndex 27 -InterfaceMetric 1
Get-NetIPInterface -AddressFamily IPv4 | Sort-Object InterfaceMetric

El canvi apareix de seguida, i el client DNS i altres consumidors fan memòria cau de la tria que ja havien fet. Torneu a connectar el túnel, o reinicieu, abans de treure conclusions d’un resultat de consulta. Una prova feta massa aviat reproduirà el comportament antic i semblarà una reparació fallida.

Després consulteu un nom intern i un de públic i mireu quin servidor ha respost. La referència sobre les mètriques automàtiques de Microsoft explica per què es prefereix el valor més baix i com es deriva l’assignació automàtica.

Feu que sobrevisqui a una reconnexió

Una mètrica manual en un adaptador que es recrea a cada connexió és un paràmetre que desapareix. Si el client reconstrueix la interfície, la substitució necessita un script posterior a la connexió, una política o una configuració de client que posseeixi el DNS mentre dura la connexió.

Els servidors configurats estàticament a l’adaptador físic tenen el mateix problema de durabilitat a la inversa. Continuen responent per aquella interfície fins que es treuen, i el DHCP els tornarà a omplir amb el contracte següent, així que treure’ls és un mesurament i no un disseny. El disseny durador és una política de resolució de noms per a l’espai de noms intern, o un client que prengui el DNS durant la connexió. De qualsevol manera, anoteu la llista de resolutors abans i després d’una reconnexió, restaureu la mètrica original quan acabeu les proves i confirmeu que ha tornat el comportament anterior.