VPN wedi cysylltu ond enwau'n methu: ble mae DNS yn torri mewn gwirionedd

Twnnel i fyny, eicon gwyrdd, a phob tab porwr yn adrodd methiant datrys enw. Mae tri mecanwaith gwahanol yn creu'r darlun hwn: gall y resolver fod yn anghyraeddadwy, gall y cleient ofyn i resolver na wnaethoch ei ddisgwyl, neu dim ond yr enwau preifat a allai fethu. Gwahanwch nhw cyn i chi newid unrhyw beth yn y protocol twnnel, oherwydd atgyweirir pob un mewn man gwahanol. Mae'r drefn isod yn dechrau gyda'r arsylwadau sy'n gwahanu'r tri.

Beth sydd ei angen ar chwiliad mewn gwirionedd

Mae chwiliad angen tri pheth: cyfeiriad resolver, llwybr i'r cyfeiriad hwnnw, ac ateb sy'n cyd-fynd â'r cwestiwn. Gall pob un fethu ar ei ben ei hun, a'r symptom gweladwy yw'r un dudalen nad yw'n llwytho. Dyna pam nad yw'r dudalen gwall yn dweud fawr ddim wrthych nes i chi wybod pa un o'r tri sydd wedi torri.

Mae'r cleient yn dysgu ei resolver o'r proffil VPN, o DHCP ar y twnnel, neu o'i gyfluniad ei hun, ac mae pa ffynhonnell sy'n ennill yn dibynnu ar y platfform. Ar Windows, mae ipconfig /all yn rhestru'r gweinyddion DNS fesul addasydd, felly gallwch weld a gyrhaeddodd y gwerth a wthiwyd mewn gwirionedd. Mae gwerth a wthiwyd na chyrhaeddodd y system weithredu erioed yn fethiant distaw a chyffredin. Darllenwch y gwerth cyfluniedig cyn cyffwrdd â'r proffil.

Mae Linux a macOS yn ateb yr un cwestiwn â gorchmynion gwahanol, ac mae'r ateb yn haeddu'r un darlleniad: resolvectl status a scutil --dns mae'r ddau yn rhestru'r gweinyddion fesul rhyngwyneb. Cymharwch y rhestr honno â'r cyfeiriad y mae'r proffil yn honni ei wthio. Mae anghysondeb yma yn esbonio popeth i lawr yr afon, felly setlwch ef cyn profi enwau.

Profwch un enw cyhoeddus ac un enw preifat

Holwch enw lluosog cyhoeddus cyffredin a'r enw lluosog preifat a ddogfennwyd o'r un peiriant, a chofnodwch pa weinydd a atebodd bob un. Os bydd y ddau yn methu, mae'r resolver neu ei lwybr wedi torri. Os mai dim ond yr enw preifat sy'n methu, mae'r resolver wedi ateb ac mae'r cwestiwn yn dod yn barth neu'n llwybro. Rhedegwch y ddau ymholiad o fewn munud i'w gilydd fel na all newid llwybr esbonio'r gwahaniaeth.

Cadwch enwau mewnol allan o sgrinluniau cyhoeddus ac allan o resolvers cyhoeddus. Mae terfyn amser ac ateb parth nad yw'n bodoli yn arsylwadau gwahanol: mae'r cyntaf yn dweud na ddaeth dim yn ôl, mae'r ail yn dweud bod awdurdod wedi ateb nad yw'r enw'n bodoli. Mae trin y ddau fel un gwall yn eich anfon i'r haen anghywir, ac mae rhybudd tystysgrif yn beth trydydd eto, nid methiant DNS.

nslookup yn argraffu'r gweinydd y gofynnwyd iddo a'r ateb a gafwyd, a dyna'n union y pâr sydd ei angen arnoch. Rhedegwch ef ddwywaith yn yr un plisgyn ac ysgrifennwch y cyfeiriad sy'n ateb wrth bob ateb.

nslookup example.com
nslookup host.corp.example 10.20.30.53

Cadarnhewch fod y cleient yn gallu cyrraedd y gweinydd hwnnw

Dim ond os gall y cleient gyrraedd resolver preifat a wthiwyd gan y proffil y mae hwnnw'n ddefnyddiol tra bo'r twnnel i fyny. Mae cyfeiriad sy'n edrych yn gywir heb lwybr yn cynhyrchu terfyn amser, ac nid yw cyflwr cysylltiedig y twnnel yn dweud dim am y llwybr hwnnw. Y prawf yw chwiliad llwybr wedi'i anelu at y resolver ei hun, nid at ben draw'r VPN.

Mae pob platfform yn ateb hynny mewn un llinell, a'r rhyngwyneb a enwir yn yr allbwn yw'r ateb cyfan. Os yw'n pwyntio at yr addasydd ffisegol tra bo'r resolver y tu ôl i'r twnnel, nid yw'r proffil yn gwthio rhagddodiad sy'n ei gwmpasu.

ip route get 10.20.30.53                      # Linux
route -n get 10.20.30.53                     # macOS
Find-NetRoute -RemoteIPAddress 10.20.30.53   # Windows PowerShell

Ar broffil twnnel hollt gall y resolver fod y tu allan i'r llwybrau a wthiwyd, sy'n broblem proffil yn hytrach na phroblem gweinydd. Cymharwch gyfeiriad y resolver â'r rhagddodiadau a wthiwyd a chadarnhewch fod un ohonynt yn ei gwmpasu. Mae'r un anghysondeb yn esbonio pam mae DNS yn gweithio ar un rhwydwaith ac yn methu ar un arall â phroffil union yr un fath.

Cofiwch y gall porwyr osgoi resolver y system

Gall porwr ag DNS diogel wedi'i alluogi anfon ymholiadau dros HTTPS at ddarparwr o'i ddewis ei hun ac anwybyddu resolver y system weithredu yn llwyr. Yna mae'r system yn edrych yn gywir tra bo'r porwr yn methu, neu'r gwrthwyneb. Mae hwnnw'n gwestiwn polisi i'r porwr, nid i'r twnnel.

Gwiriwch osodiad DNS diogel y porwr ac unrhyw bolisi a reolir sy'n ei reoli, yna rhowch gynnig ar ail raglen neu borwr gyda'r twnnel heb ei newid. Os mai dim ond un rhaglen sy'n methu, mae'r cywiriad yn perthyn i'r rhaglen honno. Nid yw ffenestr breifat yn gymhariaeth lân, oherwydd gall analluogi estyniadau yn ddiofyn mewn un porwr ac nid mewn un arall, ac ni fydd byth yn osgoi polisi a reolir. Defnyddiwch ail broffil porwr neu raglen wahanol yn lle hynny.

Fflysjiwch y storfa a phrofwch y dasg wirioneddol eto

Ar ôl cywiro gosodiad, fflysjiwch storfa'r resolver lleol fel na fydd hen ateb yn goroesi'r cywiriad. Mae adferiad byr wedi'i ddilyn gan fethiant arall yn golygu bod yr achos yn dal yno, nid bod y fflysjiad wedi methu. Dewiswch y llinell sy'n cyfateb i'r peiriant yr ydych arno, oherwydd mae'r tair storfa ar wahân.

ipconfig /flushdns                 # Windows
resolvectl flush-caches            # Linux
sudo killall -HUP mDNSResponder    # macOS

Yna ailadroddwch y dasg wreiddiol yn hytrach na chwiliad synthetig, oherwydd y dasg yw'r hyn sy'n poeni'r defnyddiwr. Ailgysylltwch unwaith hefyd, fel bod yr ail brawf yn cynnwys y cyflwr y bydd y defnyddiwr ynddo mewn gwirionedd. Cyfeirlyfr nslookup Microsoft yw'r dudalen i'w chadw ar gyfer dadleuon yr ymholiad.

Os yw enwau'n methu dim ond ar ôl datgysylltu, ni adferodd y cleient y cyfluniad blaenorol, sy'n fyg cylch bywyd i'w adrodd yn hytrach na gweinydd DNS i'w ddisodli. Nid yw chwiliad sy'n gweithio yn brawf gollwng chwaith, gan nad yw'r wlad allanfa yn dweud wrthych pa resolver a atebodd.