Proč Windows posílá vaše názvy VPN na server DNS, který jste nikdy nenastavili

Nastavíte server DNS na adaptéru VPN, připojíte se znovu, a soukromý název přesto přichází z kancelářského resolveru, který na tomto notebooku nikdo nenastavil. Výsledek vypadá, jako by se nastavení ignorovalo, a do jisté míry tomu tak je, protože seznam adaptérů je sada kandidátů, nikoli rozhodnutí. Windows překládá názvy pomocí zásady jmenného prostoru, která pro určitou příponu může určit jiný server, a tato zásada se uplatní dřív, než se zohlední nastavení adaptéru. Najít pravidlo, které vyhrálo, je práce na pět minut, jakmile víte, kterou tabulku číst.

Co jste změnili a co skutečně rozhoduje

Adresa DNS na adaptéru říká klientovi, kam může toto rozhraní posílat dotazy. Tabulka zásad překladu názvů říká klientovi, kam musí posílat dotazy pro daný jmenný prostor, a vyhodnocuje se pro každý název, ne pro adaptér. Když pravidlo odpovídá příponě, kterou jste zadali, použijí se servery pravidla a seznam adaptérů pro toto hledání přestane být důležitý.

Proto mohou dva názvy na stejném notebooku ve stejnou chvíli jít různými cestami. Hostitel pod firemní příponou následuje své pravidlo; veřejný název následuje výchozí cestu, což obvykle znamená ten adaptér, který odpoví první.

Jak tabulka páruje název

Pravidla jsou klíčována jmenným prostorem a vyhrává nejkonkrétnější shoda. Pravidlo pro corp.example platí pro vpn.corp.example a neplatí pro example.net. Pravidlo s jmenným prostorem . pokrývá vše, co ostatní pravidla nepokrývají, což z něj dělá nejnebezpečnější položku v seznamu a tu, kterou stojí za to zkontrolovat, když se nesouvisející stránka překládá tunelem.

Pravidlo může také nést komentář, zásadu, která položku vypne, a nastavení zabezpečení, která s adresami DNS nijak nesouvisí. Vypnuté pravidlo zůstává v konfiguraci viditelné, ale nemá účinek, takže položka, která na papíře vypadá správně, může po změně profilu zůstat nečinná.

Čtěte účinnou tabulku, ne seznam přání

Nakonfigurovaná pravidla a účinná pravidla jsou dvě různé otázky. Get-DnsClientNrptRule vypisuje, co na stroji existuje. Get-DnsClientNrptPolicy -Effective ukazuje, co klient skutečně použije, s hodnotami sloučenými ze zásady a místního nastavení.

Porovnejte příponu v tomto výstupu s názvem, který testujete, znak po znaku. Pravidlo pro corp.example nezachytí název končící na corp.example.com, a tečka na konci na jednom místě a její absence na druhém stačí ke změně shody.

Bez pravidla se Windows ptá více než jednoho adaptéru

Když si název v tabulce nic nenárokuje, klient může poslat dotaz několika rozhraními a vzít první odpověď, která dorazí. Výsledek závisí na čase: stejný název se v pondělí může přeložit z drátového adaptéru a v úterý z tunelu a nic v konfiguraci žádného z adaptérů ten rozdíl nevysvětluje.

Existují dvě východiska. Přidejte pravidlo pro jmenný prostor, aby rozhodnutí přestalo být závodem, nebo vypněte paralelní chování pomocí zásady klienta DNS a přijměte pomalejší, deterministický překlad. První se obvykle hodí lépe pro VPN s rozděleným tunelem, protože dokumentuje záměr místo spoléhání na pořadí.

Cesty, které resolver úplně obcházejí

Prohlížeč se zapnutým zabezpečeným DNS překládá sám a Windows předá jen adresu, takže tabulka pravidel název nikdy nevidí. Klienti postavení na runtimech s vlastním resolverem se mohou chovat stejně. Když se název přeloží v jedné aplikaci a v jiné na stejném stroji selže, porovnejte obě cesty překladu, než sáhnete na zásadu.

Zkontrolujte také, zda se aplikace nepřipojuje k adrese z mezipaměti z dřívější relace. Clear-DnsClientCache a poté stejné vyhledání dá čistší odpověď než usuzování ze zastaralého výsledku.

Testujte s názvem, který selhal

Přeložte přesný název hostitele ze zprávy, ne veřejnou doménu pro test rychlosti, a poznamenejte, který server odpověděl. Pak změňte jednu věc: pravidlo, seznam adaptérů nebo přiřazení zásady, a po opětovném připojení zopakujte stejné vyhledání, aby se použitý stav znovu sestavil.

Pokud se název přeloží a služba přesto odmítá, přestaňte upravovat DNS. Dalším užitečným krokem je adresa a cesta k ní, protože překlad názvů už svou práci udělal.