Mae eich twnnel hollt yn cyrraedd yr ap ond nid ei weinydd DNS

Mae llwybro isrwyd yr ap yn rhan amlwg o dwnnel hollt, ac nid yw'n waith cyfan. Mae'r datryswr yn aml yn eistedd ar gyfeiriad gwahanol i'r ap y mae'n ei wasanaethu, felly gall twnnel sy'n gweithio adael yr edrychiad y tu allan iddo. Mae proffil sy'n cario 10.80.0.0/16 a dim byd arall yn anfon yr ymholiad am 10.90.0.53 allan trwy'r rhyngwyneb lleol, lle nad oes parth preifat. Ychwanegwch lwybr y datryswr, yna edrychwch ar ail hanner y broblem: pa weinydd y mae'r cleient yn ei ddewis mewn gwirionedd.

Y myth: mae un llwybr yn cwmpasu'r gwasanaeth cyfan

Rhestr o gyrchfannau sy'n mynd trwy'r cysylltiad yw twnnel hollt, nid disgrifiad o wasanaeth. Mae isrwyd yr ap a chyfeiriad y datryswr yn ddau gyrchfan, a gall proffil gario'r naill heb y llall. Pan fydd hynny'n digwydd, mae'r ap yn hygyrch drwy gyfeiriad tra bo ei enw'n methu, sy'n edrych fel nam DNS yn hytrach na bwlch llwybro.

Nid yw'r isrwyd o amgylch y datryswr yn cael ei chwmpasu'n awtomatig chwaith. Mae llwybr gwesteiwr i un cyfeiriad yn ddigon ar gyfer y datryswr hwnnw ac nid yw'n agor ei gymdogion. Dyna bwynt llwybr gwesteiwr: yn gul wrth gynllunio, ac yn hawdd ei anghofio pan fydd y gwasanaeth nesaf yn ymddangos ar yr un isrwyd.

Rhaid i dri pheth fod yn wir i'r edrychiad weithio: bod y cleient yn llwybro cyfeiriad y datryswr trwy'r twnnel, bod y porth yn derbyn ac yn anfon y cais ymlaen, a bod y datryswr yn derbyn y ffynhonnell a gaiff. Rhaid i ateb ddod yn ôl hefyd ar hyd y llwybr y cytunwyd arno. Os oes un yn eisiau, mae'r symptom yn unfath, a dyna pam mae'n werth ysgrifennu'r tabl cyfeiriadau cyn cyffwrdd â chyfluniad.

Penderfynwch pa gyfeiriadau y mae'n rhaid i'r proffil eu cario

Rhestrwch y cyrchfannau mewn trefn: rhwydwaith yr ap, cyfeiriad y datryswr a'r pwynt terfyn cyhoeddus sy'n terfynu'r twnnel ei hun. Rhaid peidio byth â llwybro'r trydydd i mewn i'r twnnel, oherwydd mae'r cysylltiad allanol angen llwybr sy'n bodoli cyn y twnnel.

Cynhwyswch UDP a TCP ar gyfer DNS, gan y disgwylir i weithrediadau gefnogi TCP yn ogystal ag UDP, ac mae llwybr TCP wedi'i rwystro yn cynhyrchu methiannau araf, rhannol yn hytrach na rhai glân. Os gwasanaethir y parth preifat dros IPv6 hefyd, mae'r eithriad gwesteiwr cyfatebol yn defnyddio cyfeiriad a rhagddodiad IPv6 ac yn gofnod ar wahân.

Cofnodwch beth mae'r proffil yn ei gwmpasu'n barod cyn ychwanegu unrhyw beth. Mae llwybr dyblyg yn ddiniwed, ond mae llwybr presennol annisgwyl yn dweud wrthych fod y proffil wedi'i gynllunio ar gyfer cynllun cyfeiriadau gwahanol i'r un a roddwyd i chi.

Ychwanegwch y llwybr gwesteiwr trwy berchennog y cysylltiad

Ar gyfer proffil Windows brodorol a reolir yn lleol, mae'r llwybr yn perthyn i'r cysylltiad yn hytrach nag i dabl llwybro byd-eang y peiriant. Rhagolwgwch yr ychwanegiad yn gyntaf, yna ei gymhwyso gyda'r un cwmpas ag y mae'r proffil yn ei ddefnyddio.

Add-VpnConnectionRoute -ConnectionName 'Office VPN' -DestinationPrefix '10.90.0.53/32' -WhatIf
Get-VpnConnection -Name 'Office VPN' | Select-Object -ExpandProperty Routes

Mae'r gorchymyn cyntaf yn rhagweld y newid heb osod unrhyw beth, ac mae'r ail yn rhestru'r llwybrau y mae'r proffil yn eu cario ar hyn o bryd. Mae cyfeirlyfr Add-VpnConnectionRoute Microsoft yn dogfennu'r cwmpasau fesul defnyddiwr ac ar gyfer pob defnyddiwr; mae proffil pob defnyddiwr angen ei baramedr cwmpas ei hun, ac mae gorchymyn fesul defnyddiwr yn erbyn proffil pob defnyddiwr yn methu neu'n glanio yn y lle anghywir.

Pan fydd y proffil yn cael ei reoli neu'n dod o gleient gwerthwr, mae'r newid yn perthyn i'r perchennog hwnnw. Mae pentyrru llwybr system barhaol ar ben polisi cysylltiad yn gweithio nes bod y polisi'n cael ei ailgymhwyso a'r llwybr yn diflannu, sy'n digwydd fel arfer yn ystod galwad cymorth yn hytrach nag yn ystod profion. Mae'r nam hwnnw'n dawel: mae'r llwybr yn diflannu, mae'r enw'n stopio datrys, ac nid oes neb yn cysylltu'r ddau ddigwyddiad. Rhowch y newid yng nghofnod perchennog ei hun fel bod yr ailgymhwysiad nesaf yn ei gario yn hytrach na'i ddileu.

Ar ôl cymhwyso, ailgysylltwch y proffil yn hytrach na chymryd yn ganiataol bod y llwybr wedi cymryd effaith. Nid yw newidiadau llwybr ar gysylltiad byw bob amser yn cael eu codi, ac mae ailgysylltu hefyd yn atgynhyrchu'r cyflwr a fydd gan eich defnyddwyr mewn gwirionedd.

Gwiriwch pa ddatryswr y defnyddiodd y cleient mewn gwirionedd

Mae llwybr yn rheoli pecynnau wedi'u cyfeirio at y datryswr. Nid yw'n penderfynu pa enwau y dylid eu hanfon yno, ac mae'r dewis hwnnw'n fecanwaith ar wahân. Ar Windows, gall rheolau gofod enw effeithiol ddewis datryswr fesul parth, tra bod gosodiadau DNS y proffil yn darparu'r rhagosodiad. Gall y ddau haen anghytuno heb gynhyrchu unrhyw wall, a dyna pam mai hanner y dystiolaeth yn unig yw ymholiad uniongyrchol.

Get-DnsClientNrptPolicy
Resolve-DnsName app.svc.example -Server 10.90.0.53 -Type A

Mae'r gorchymyn cyntaf yn argraffu'r polisi gofod enw sydd mewn grym, ac mae'r ail yn gofyn i'r datryswr preifat yn uniongyrchol am enw'r ap. Mae ateb uniongyrchol yn profi bod y llwybr a'r datryswr yn gweithio; nid yw'n profi bod edrychiad ap ei hun wedi dewis y gweinydd hwnnw. Cymharwch ef ag edrychiad arferol o'r un enw ac ag ateb y mae'r ap yn ei gael.

Cyfrifwch am storfa a DNS diogel ar lefel porwr, a all osgoi datryswr y system yn gyfan gwbl ar gyfer enwau y mae defnyddiwr wedi'u teipio. Mae ôl-ddodiad chwilio yn awgrym ffug arall: mae'n ehangu enw byr yn un cwbl gymwys ac nid oes ganddo ddim i'w wneud â pha weinydd sy'n ateb.

Gorffennwch drwy ailgysylltu ac ailadrodd yr edrychiad arferol, yna cadarnhewch fod pori cyffredin yn dal i ddilyn ei bolisi cymeradwy. Nid yw disodli'r datryswr preifat ag un cyhoeddus er mwyn datrys enw digyswllt yn atgyweiriad, ac mae'n symud ymholiadau preifat yn dawel i rywle na chawsant eu bwriadu iddo erioed.