A newidiodd y VPN fy DNS? Cymharwch cyn ac ar ôl

Rydych yn cysylltu’r twnnel, yn agor dangosfwrdd preifat, ac mae’r enw’n datrys i gyfeiriad nad ydych erioed wedi’i weld. Neu mae’r gwrthwyneb yn digwydd: mae’r porwr yn parhau i weithio tra bo offeryn llinell orchymyn yn sydyn yn datrys dim. Daw’r ddau ganlyniad o’r un newid, ac mae pobl fel arfer yn egluro hyn ag un frawddeg am y VPN sy’n "defnyddio ei DNS ei hun", nad yw’n ddigon manwl i ddatfugsio nac i wirio. Mae dau gwestiwn yn cuddio yn y frawddeg honno: pa ymholiadau y dylai’r proffil hwn eu cymryd drosodd, ac a anfonodd eich peiriant nhw mewn gwirionedd at y datryswr a roddwyd iddo? Cadw’r rhain ar wahân yw’r dull cyfan, oherwydd mae prawf sy’n eu cymysgu yn cynhyrchu ateb anghywir hyderus yn y ddau gyfeiriad.

Pam mae proffil yn cyflenwi datryswr o gwbl

Y tu mewn i dwnnel, mae enwau y tu ôl i’r pen pell fel arfer yn datrys i gyfeiriadau sy’n bodoli yn y rhwydwaith hwnnw yn unig. Nid oes gan barth preifat fel corp.internal unrhyw ddirprwyaeth gyhoeddus, felly rhaid i’r datryswr sy’n ei ateb fod yn gyrhaeddadwy o fewn y twnnel. Mae’r un mecanwaith yn gwasanaethu ail bwrpas: pan fyddai ymholiadau fel arall yn gadael drwy eich ISP, mae datryswr ar yr ochr bell yn cadw’r ymholiad o fewn y llwybr amgryptiedig. Dyna pam mae cyfeiriad y gweinydd DNS yn dod fel rhan o bolisi’r cysylltiad yn hytrach na fel gosodiad byd-eang a ddewiswyd gennych unwaith ar gyfer y peiriant.

Nid yw’r cyfeiriad ar ei ben ei hun yn penderfynu dim. Gall datryswr ateb yn unig os oes llwybr iddo, a’r methiant mwyaf cyffredin yw datryswr sy’n gyrhaeddadwy dim ond tra bo’r twnnel i fyny. Pan fydd y twnnel yn disgyn a’r polisi’n aros, mae ymholiadau’n mynd i gyfeiriad heb lwybr, a’r symptom yw terfyn amser yn hytrach na gwall glân. Mae’r gwahaniaeth hwnnw’n bwysig pan fyddwch yn darllen canlyniad y prawf nesaf, oherwydd mae terfyn amser yn anfon pobl i osodiadau cludo nad oeddent byth yn gysylltiedig.

Cymharwch y ddau ddyluniad cyn cymharu atebion

Mae twnnel llawn a DNS hollt yn cynhyrchu disgwyliadau croes, ac nid yw’r naill na’r llall yn gamweithio. O dan dwnnel llawn gall pob ymholiad symud i’r darparwr neu i’r datryswr corfforaethol, felly mae enwau cyhoeddus yn ateb yn wahanol ar ôl cysylltu i’w ddisgwyl. O dan DNS hollt dim ond y parthau a restrir sy’n mynd i’r datryswr preifat tra bo popeth arall yn aros yn lleol; ar Windows mae’r rhestr parthau yn byw yn y Name Resolution Policy Table, ar macOS ym mharthau cyfatebol y gosodiadau DNS, ac ar westeiwr systemd-resolved ym mharthau llwybro pob cyswllt.

Dyma’r gymhariaeth i’w gwneud gyntaf, oherwydd mae’n penderfynu beth sy’n cyfrif fel nam. Gyda DNS hollt, enw cyhoeddus sy’n ateb o ddatryswr newydd yw’r peth sy’n werth ei ymchwilio, tra bo enw mewnol sy’n ateb yn gywir yn golygu bod y system yn gwneud ei gwaith. Gyda thwnnel llawn, yr anomali yw enw cyhoeddus sy’n dal i ateb o ddatryswr eich ISP. Mae dogfennaeth Microsoft ar ddatrys enwau VPN yn disgrifio trefn Windows o’r rheolau hyn, gan gynnwys sut y caiff cofnod polisi cyfatebol ei ystyried cyn gweinyddwyr yr addasydd ei hun.

Mae trydydd datryswr yn yr ystafell sy’n hawdd ei anghofio. Mae DNS diogel y porwr yn datrys enwau ar ei ben ei hun a gall barhau i ateb ar ôl i’r twnnel newid polisi’r system weithredu, felly mae tudalen sy’n llwytho yn profi bod datryswr y porwr wedi gweithio, nid bod y proffil wedi’i gymhwyso. Os mai dim ond yr hyn y mae’r porwr yn ei ddangos a gymharwch, chi’n profi’r haen anghywir hanner y tro.

Cofnodwch linell sylfaen gydag un newidyn yn unig

Newidiwch y twnnel. Peidiwch â newid yr enw, yr offeryn na’r ôl-ddodiad chwilio yn yr un cam. Dewiswch enw y cewch ymholi amdano, nodwch pa raglen a ddefnyddiwyd gennych, ac ysgrifennwch naill ai’r cyfeiriad a ddychwelodd neu’r gwall union. Ar Windows mae Get-DnsClientServerAddress -AddressFamily IPv4 yn argraffu’r gweinyddwyr fesul addasydd ac mae Get-DnsClientNrptPolicy yn argraffu cofnodion polisi; ar Linux gyda systemd-resolved mae resolvectl status yn dangos gweinyddwyr DNS a pharthau llwybro fesul cyswllt; ar macOS mae scutil --dns yn argraffu trefn y datryswyr y bydd y system yn ei dilyn mewn gwirionedd.

Yna cysylltwch drwy reolyddion arferol y cleient ac ailadroddwch yr un gorchmynion yn union. Cadwch yr allbwn cyntaf yn hytrach na chof ohono, oherwydd y gymhariaeth yw’r pwynt cyfan ac mae ail ddarlleniad a gymerwyd ar ôl fflysio’r storfa eisoes yn fesuriad gwahanol. Os cymerwyd y llinell sylfaen gyda’r porwr o’ch blaen ac mae’r rhediad ar ôl cysylltu’n digwydd mewn terfynell, rydych yn cymharu dau ddatryswr, nid dau gyflwr un datryswr.

Mae ymholiad penodol a chwiliad rhaglen yn brofion gwahanol

Mae gofyn i un gweinydd penodol, gyda nslookup name 10.20.0.1 neu dig @10.20.0.1 name, yn profi un peth yn unig: bod y gweinydd a enwyd gennych yn ateb pan allwch gyrraedd ato. Mae’n osgoi’r rhesymeg ddewis yn llwyr, felly ni all ddweud wrthych a fyddai’r system wedi dewis y gweinydd hwnnw ar gyfer yr enw hwn. Defnyddiwch ef i brofi a yw’r datryswr a bennwyd yn gyrhaeddadwy, ac na ddefnyddiwch ef i brofi polisi.

Mae chwiliad drwy’r datryswr lleol yn arfer dewis mewn gwirionedd. Mae resolvectl query name yn cerdded yr un rheolau parthau llwybro ac yn adrodd pa brotocol a atebodd, mae Resolve-DnsName ar Windows yn mynd drwy’r tabl polisi a storfa’r cleient, ac mae scutil --dns yn dangos y drefn y byddai chwiliad yn ei dilyn. Rhedwch y ddau fath, a chadwch nhw yng ngholofnau ar wahân eich nodiadau. Mae ymholiad penodol llwyddiannus wrth ymyl chwiliad rhaglen sy’n methu yn broblem llwybro neu ddewis, nid datryswr sy’n gwrthod gweithio.

Mae storfa rhwng chi a’r ateb. Mae’r system weithredu, y datryswr stub lleol, y porwr a storfa negyddol i gyd yn dal canlyniadau, felly gall chwiliad lwyddo heb i un pecyn adael y peiriant. Cofnodwch y canlyniad cyn fflysio unrhyw beth: ipconfig /flushdns, resolvectl flush-caches, neu sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder ar macOS. Neidiwch dros yr ailosodiad rhwydwaith eang ar yr adeg hon, oherwydd mae’n dinistrio’r dystiolaeth yr ydych yn dal i’w chasglu.

Beth mae’r gwahaniaeth yn ei olygu

Cymharwch y ddwy res a gofnodwyd gennych a dosbarthwch y newid cyn cyffwrdd ag un gosodiad.

Mae un rhes yn haeddu pwyslais. Nid yw enw sy’n datrys yn wasanaeth sy’n gweithio, ac nid yw llwyddiant DNS yn dweud dim ond bod cyfeiriad wedi’i ganfod. Nid yw’n dweud dim am anfon ymlaen, rheolau’r wal dân, nac a yw eich cyfrif yn cael defnyddio’r gwasanaeth o gwbl, felly gorffennwch drwy brofi’r rhaglen wirioneddol yn hytrach na chymryd yn ganiataol fod y methiant wedi symud ymaith ar ei ben ei hun.

Adferwch y llinell sylfaen a’i gwirio

Datgysylltwch drwy reolyddion y cleient ei hun yn hytrach na lladd y broses, yna ail-ddarllenwch yr un tair gorchymyn. Dylai’r gweinyddwyr fesul cyswllt, y cofnodion polisi a’r ateb ar gyfer eich enw prawf ddychwelyd i’r llinell sylfaen a ysgrifennwyd gennych yn gynt. Mae cofnod polisi sy’n weddill ar ôl datgysylltiad glân yn nam gwirioneddol sy’n werth ei gofnodi, a dyna hefyd pam mae golygu â llaw ar ffeil datryswr a gynhyrchwyd yn arfer drwg: mae’r ffeil yn cael ei hailysgrifennu a’r golygiad yn diflannu, neu mae’r golygiad yn goroesi ac yn pinio datryswr nad oes ganddo lwybr mwyach.

Ewch drwy’r rhestr hon unwaith, mewn trefn. Penderfynwch pa ddyluniad y mae’r proffil yn ei weithredu cyn barnu unrhyw ganlyniad. Cadwch yr enw, yr offeryn a’r ôl-ddodiad yn sefydlog ar draws y ddau rediad. Gwahanwch yr ymholiad penodol oddi wrth chwiliad y rhaglen. Darllenwch y polisi effeithiol, nid yr ateb yn unig. Fflysiwch y storfa olaf, ar ôl i’r gymhariaeth gael ei hysgrifennu. Gwirwch gyda’r rhaglen wirioneddol, yna ailgychwynwch unwaith a chadarnhewch fod y cyflwr datgysylltiedig yn dal yn lân.