Gosod DNS ar addasydd VPN Windows gyda PowerShell, yna gwirio

Nid yw cysylltiad VPN Windows yn storio gweinyddion DNS yn y proffil rydych yn ei olygu yn y Gosodiadau. Pan ddaw’r twnnel i fyny, mae’r cleient yn negodi cyfluniad IP â’r porth, mae’r porth yn gwthio rhestr datryswyr, ac mae Windows yn ei chymhwyso i addasydd y twnnel. Mae’r addasydd hwnnw’n rhyngwyneb ar wahân i’ch Wi-Fi neu Ethernet, ac mae’r rhestr yn perthyn i’r rhyngwyneb, nid i’r proffil. Unwaith y gwyddoch pa wrthrych sy’n berchen ar y gwerth, mae ei drosysgrifio yn PowerShell yn un gorchymyn; gwneud i’r trosysgrifiad oroesi ailgysylltiad yw’r rhan sydd angen penderfyniad.

Pa wrthrych sy’n berchen ar y cyfeiriad

Mae RAS yn creu addasydd y twnnel pan lwydda’r cysylltiad ac yn ei dynnu pan fydd y cysylltiad yn cwympo. Mae’r gweinyddion DNS a welwch yn ipconfig /all yn dod yn ystod y cyfnewid cyfluniad hwnnw, wrth ochr y cyfeiriadau IPv4 ac IPv6 a’r llwybrau. Gan fod y gwerth ynghlwm wrth y rhyngwyneb, mae Set-DnsClientServerAddress yn ysgrifennu i rywbeth nad yw’n bodoli ond tra bo’r cysylltiad yn bod.

Mae’r un ffaith hon yn esbonio’r rhan fwyaf o’r dryswch ynglŷn â DNS VPN. Gellir archwilio proffil tra’n datgysylltiedig, ond nid oes rhyngwyneb i bwyntio ato, felly mae sgript fewngofnodi sy’n galw’r gorchymyn yn erbyn alias VPN yn methu cyn i unrhyw un gysylltu. Mae hefyd yn esbonio newid sy’n edrych fel petai’n dychwelyd: ni ddychwelodd dim, dinistriwyd y rhyngwyneb ac ailadeiladwyd ef gyda’r gwerthoedd a wthiodd y porth.

Dewch o hyd i’r alias cyn cyffwrdd â DNS

Mae enw’r proffil ac alias y rhyngwyneb fel arfer yr un llinyn, ond nid ydynt yr un gwrthrych. Get-VpnConnection yn rhestru proffiliau; Get-NetAdapter yn rhestru’r rhyngwynebau sydd gan Windows mewn gwirionedd. Mae gorchmynion DNS am yr ail, ac mae’r ddau yn dargyfeirio’n amlach nag y mae pobl yn ei ddisgwyl, yn enwedig pan fydd y cleient yn ychwanegu disgrifydd fel "(RAS)" at enw’r addasydd.

Os nad yw’r proffil yn bodoli, gall PowerShell greu cofnod brodorol. Rhaid i’r math o dwnnel a’r dilysu gyd-fynd â’r hyn y mae’r porth yn ei gynnig, oherwydd mae’r anghysondeb yn ymddangos ar adeg cysylltu, nid ar adeg creu:

Add-VpnConnection -Name "Corporate" -ServerAddress vpn.example.net `
  -TunnelType Ikev2 -EncryptionLevel Required `
  -AuthenticationMethod Eap -AllUserConnection

Cysylltwch unwaith, yna darllenwch yr alias go iawn cyn ysgrifennu unrhyw orchymyn DNS:

rasdial.exe "Corporate"
Get-NetAdapter | Where-Object InterfaceDescription -like "*VPN*"
Get-DnsClientServerAddress -InterfaceAlias "Corporate"

Cymhwyswch y trosysgrifiad yn y drefn gywir

Mae trefn yn bwysicach na chystrawen. Rhaid i’r addasydd fod i fyny, rhaid i’r alias ddatrys, a rhaid i’r cyfrif gael caniatâd i newid gosodiadau rhyngwyneb. Mae cysylltiad fesul defnyddiwr fel arfer yn derbyn y newid gan y defnyddiwr sydd wedi mewngofnodi; mae cysylltiad i bob defnyddiwr a grëwyd gyda -AllUserConnection fel arfer angen plisgyn uwch.

Mae’r gorchymyn ei hun yn un llinell, wedi’i ddogfennu yn refferens Set-DnsClientServerAddress:

Set-DnsClientServerAddress -InterfaceAlias "Corporate" -ServerAddresses 10.20.0.53,10.20.0.54
Get-DnsClientServerAddress -InterfaceAlias "Corporate" -AddressFamily IPv4

Mae dau fodd methu yn werth eu hadnabod ar yr olwg gyntaf. Mae alias anghywir yn cynhyrchu gwall gan y gorchymyn, a dyna’r canlyniad da, oherwydd byddai distawrwydd yn waeth. Mae gorchymyn cywir heb effaith weladwy fel arfer yn golygu eich bod yn edrych ar yr addasydd anghywir: addasydd twnnel dros ben o gleient arall, NIC ffisegol gyda disgrifiad tebyg, neu ail addasydd rhithwir a grëwyd gan offeryn rhwydwaith tywodfa.

Pam y gall ailgysylltu ddadwneud y newid

Mae’r trosysgrifiad yn perthyn i un achos o ryngwyneb. Pan fydd y cleient yn dymchwel yr addasydd ac yn ei ailadeiladu ar y cysylltiad nesaf, mae’r gwerthoedd a wthiwyd yn cael eu cymhwyso eto ac mae eich rhestr wedi mynd. Mae rhai cleientiaid yn ailgreu’r rhyngwyneb ar bob cysylltiad; mae eraill yn ei ailddefnyddio am oes y sesiwn. Cymharwch indecs y rhyngwyneb yn Get-NetAdapter ar draws dau gysylltiad a byddwch yn gwybod pa ymddygiad sydd gennych.

Mae tri ateb parhaus yn bodoli, ac mae eu pentyrru yn creu bygiau ei hun. Mae ôl-ddodiad DNS sy’n benodol i’r cysylltiad ynghyd â rheol NRPT yn anfon y gofod enwau mewnol yn unig at y datryswr mewnol ac yn gadael enwau cyhoeddus yn llonydd. Mae gosodiad Group Policy neu MDM a gymhwysir i’r cysylltiad VPN yn gosod DNS ar adeg cysylltu heb unrhyw sgript. Mae tasg a drefnwyd sy’n ymateb i ddigwyddiad y cysylltiad ac yn ailredeg y gorchymyn yn opsiwn di-grefft, ond mae’n gweithio ac mae’n gadael log. Dewiswch un perchennog ar gyfer DNS ac ysgrifennwch pa un ydyw.

Mae enwau mewnol unlabel hefyd angen rhestr chwilio ôl-ddodiadau. Set-DnsClientGlobalSetting -SuffixSearchList yn un ar gyfer yr holl beiriant, felly mae’n newid datrysiad ar gyfer pob addasydd ar y blwch, gan gynnwys Ethernet. Profwch ef ar beiriant labordy cyn iddo fynd i ddelwedd.

Gwiriwch y datrysiad, nid y gosodiad yn unig

Mae datryswr a restrir ar addasydd yn profi dim ond bod gwerth wedi’i ysgrifennu. Gofynnwch i’r gweinydd a fwriadwyd yn uniongyrchol, yna gofynnwch drwy’r llwybr arferol:

Resolve-DnsName server01.corp.example -Server 10.20.0.53
Resolve-DnsName server01.corp.example

Mae’r rhaniad yn dweud wrthych ble mae’r bai. Mae’r ymholiad uniongyrchol yn ateb ac mae’r ymholiad plaen yn methu: nid yw gosodiad yr addasydd na’r rhestr ôl-ddodiadau mewn grym. Mae’r ddau yn methu: mae’r datryswr yn anhygyrch drwy’r twnnel, felly edrychwch ar lwybrau a rheolau wal dân cyn cyffwrdd â DNS eto. Mae’r ymholiad uniongyrchol yn methu tra bod yr ymholiad plaen yn ateb o rywle arall: mae split DNS wedi’i gamgyflunio ac mae enw mewnol yn cael ei ateb gan ddatryswr cyhoeddus, sy’n broblem polisi cyn iddi fod yn broblem cysylltedd.

Rhedwch y prawf ddwywaith, unwaith yn syth ar ôl cysylltu ac unwaith ar ôl datgysylltu ac ailgysylltu, a chymharwch y Get-DnsClientServerAddress allbwn o’r ddau rediad. Os yw’r gwerth a wthiwyd yn ôl ar yr ail gysylltiad, bu’r trosysgrifiad byw a marw gyda’r addasydd, a dim ond llwybr NRPT neu bolisi o’r adran flaenorol a fydd yn dal. Cadwch y ddau drawsgrifiad a’r stampiau amser cysylltu; maent yn setlo’r cwestiwn a yw’n glynu yn gyflymach na rownd arall o olygiadau.