Cymerodd VPN reolaeth DNS a thorri enwau lleol: trwsiwch y rhestr

Mae'r twnnel yn codi, mae'r fewnrwyd yn llwytho, ac mae enw'r argraffydd yn peidio â datrys. Neu i'r gwrthwyneb: mae enwau lleol yn dal i weithio tra bod popeth y tu mewn i'r rhwydwaith corfforaethol yn dod i ben. Daw'r ddau symptom o'r un lle, sef rhestr ddatryswyr a ailysgrifennwyd gan y cleient VPN pan gysylltodd.

Trwsiwch y rhestr yn fwriadol, yna deliwch â'r mecanwaith push ar wahân. Mae llwybrau'n drydedd bwnc ac nid dyna'r un sy'n cael ei drwsio yma.

Pa restr mae cymwysiadau'n ei defnyddio mewn gwirionedd

Mae Windows yn datrys drwy osodiadau ar lefel rhyngwyneb yn hytrach nag drwy beth bynnag mae dialog yn ei ddangos, felly dechreuwch gyda'r rhestrau effeithiol fesul rhyngwyneb. Mae'r alias yn bwysicach na'r enw arddangos, oherwydd mae pob gorchymyn isod yn cyfeirio at ryngwyneb. Os byddwch yn camgymryd yr alias, bydd y trwsiad yn glanio ar y addasydd anghywir. Bydd yn ymddangos ei fod yn gweithio tan yr ailgysylltiad nesaf, pan ddaw cofnod y twnnel ei hun yn ôl.

Y cwestiwn yw pa weinyddwyr a ddaeth i'r blaen, ac a ddaethant fel cofnodion statig neu fel les DHCP. Mae'r ddau ffaith yn penderfynu pa drwsiad sydd ar gael i chi.

netsh interface ipv4 show dnsservers
Get-DnsClientServerAddress -AddressFamily IPv4

Darllenwch yr allbwn ar gyfer addasydd y twnnel ac ar gyfer yr un corfforol, a nodwch bob cyfeiriad ar bob un. Gellir tynnu cofnod statig drwy bolisi neu sgript; mae un a ddarperir gan DHCP yn rhwym wrth y les a bydd yn dychwelyd, sy'n newid y trwsiad y dylech ei ddewis. Mae enwau yn y rhwydwaith pell yn datrys o'r datrysiwr a hysbysebir, enwau ar y LAN lleol o'r addasydd corfforol, ac mae'r ymholiad yn mynd i ba bynnag restr a ymgynghorir gyntaf.

Tynnwch y gweinyddwyr a wthiwyd, neu eu rhestru'n is

Dilewch y gweinyddwyr a wthiwyd pan nad oes angen unrhyw beth y tu mewn i'r twnnel arnynt, oherwydd bydd datryswyr yr addasydd corfforol yn cymryd drosodd eto. Cadwch hwy dim ond os yw'r rhwydwaith pell yn berchen ar barthau na all ond ei weinyddwyr ei ateb, ac yn yr achos hwnnw rhowch ddatrysiwr lleol o'u blaen. Mae'r ddau orchymyn isod yn cwmpasu'r ddau ddewis, felly dewiswch yr un sy'n cyfateb i'r sefyllfa yn hytrach na rhedeg y ddau.

netsh interface ipv4 delete dnsservers name="Corp VPN" address=all validate=no
netsh interface ipv4 add dnsservers name="Corp VPN" address=172.16.20.1 index=1 validate=no

Ymgynghorir mynegai 1 gyntaf, felly mae'r cyfeiriadau a wthiwyd yn parhau ar gael ond yn peidio â bod yr ateb diofyn i bob ymholiad. Mae'r faner validate=no yn hepgor prawf cyrhaeddedd sy'n aml yn methu tra bod y twnnel yn dal i setlo, felly cadarnhewch y canlyniad gyda'r gorchymyn show yn hytrach na choelio'r cod gadael.

Mae dau gyfyngiad yn werth eu gwybod cyn i chi ddibynnu ar hyn. Ni fydd Windows yn dileu gweinyddwyr a ddaeth dros DHCP drwy netsh, ac mae'r gwerthoedd hynny'n parhau fel DhcpNameServer o dan allwedd gofrestr y rhyngwyneb, felly mae golygu'r gofrestr yn ffordd olaf y mae'n rhaid ei hailwirio ar ôl y les nesaf. Nid yw trefn rhwymo addasyddion yn fecanwaith rhestru dibynadwy chwaith, oherwydd gall cleient VPN fewnosod ei gofnod ei hun ar ben y rhestr.

Lle gellir hidlo'r push

Mae trwsiad gwell yn tynnu'r opsiwn cyn iddo gael ei gymhwyso. Gall cleient Community OpenVPN hidlo cyfarwyddeb a wthiwyd yn ôl enw, sy'n cadw cyfluniad y gweinydd yn gyfan.

pull-filter ignore "dhcp-option DNS "

Mae'r bwlch ar y diwedd yn perthyn i'r cyfatebiaeth ac mae'r hidlydd yn enwi'r opsiwn yn hytrach na chyfeiriad gweinydd. Os yw'r proffil hefyd yn cynnwys cyfarwyddeb block-outside-dns, mae ei thynnu'n newid amddiffyniad rhag gollyngiadau yn hytrach na datrys enwau, felly penderfynwch ar hynny ar wahân yn lle bwndelu'r ddwy olygiad.

Ar gyfer un enw gwesteiwr styfnig, mae un llinell yn ffeil hosts Windows yn fwy sefydlog na hareseilio datryswyr ar gyfer y peiriant cyfan. Mae hefyd yn anweledig i'r person nesaf, felly cofnodwch ef ble bynnag y dogfennir cyfluniad y peiriant.

Gwnewch i'r trwsiad oroesi ailgysylltiad

Rhaid profi datrysiad ddwywaith, unwaith yn erbyn gweinydd a ddewiswyd ac unwaith ar y ffurf y mae cymhwysiad yn ei defnyddio. Mae'r pâr hwnnw'n gwahanu problem trefn datryswyr oddi wrth weinydd nad yw byth yn ateb. Mae hepgor y prawf cyntaf yn gadael y ddau achos wedi'u plethu.

Resolve-DnsName intranet.corp.example -Server 172.16.20.1
Resolve-DnsName printer.lan

Ailgysylltwch y twnnel ac ailadroddwch y ddau orchymyn. Mae unrhyw beth a newidiwyd gennych â llaw yn para dim ond tan y cysylltiad nesaf, oherwydd mae'r cleient yn ailadeiladu ei gyflwr datryswyr wrth godi'r addasydd. Rhowch y llinellau netsh yn sgript gysylltu gefnogir eich cleient, gadewch i'r sgript honno orffen yn llwyddiannus, ac ychwanegwch arosiad byr cyn iddi redeg. Bydd cleient sy'n cymhwyso DNS ar ôl y sgript yn trosysgrifo'r canlyniad beth bynnag.

Os yw enwau cyhoeddus yn datrys ac mae rhai mewnol yn dal i fethu ar ôl y trwsiad, mae'r rhestr ddatryswyr wedi peidio â bod o dan amheuaeth. Mae'n debyg nad yw'r ymholiad yn cyrraedd y gweinydd o gwbl, sy'n awgrymu llwybro neu reol wal dân yn hytrach na gosodiad DNS arall. Cofnodwch alias y rhyngwyneb a'r cyfeiriadau y setlwyd arnynt, oherwydd mae'r ddau yn wahanol rhwng peiriannau ac nid yw'r naill na'r llall yn goroesi ailadeiladu ar ei ben ei hun.