Pam mae DNS yn stopio gweithio ar ôl i OpenVPN gysylltu ar Windows

Mae ping i resolver y swyddfa yn dal i gael ateb ar ôl i "OpenVPN" gysylltu, ac eto mae pob chwiliad enw yn methu. Mae’r cyfeiriad yn gyrraeddadwy tra nad yw’r port, cyfuniad sy’n gwneud synnwyr unwaith y gwyddoch y gall Windows hidlo DNS fesul addasydd. Gyda block-outside-dns yn y proffil, y hidlydd hwnnw yw’r prif amheuyn a’r tabl llwybrau yw’r lle anghywir i chwilio. Mae’r ddau brawf isod yn gwahanu’r haenau mewn eiliadau.

Cyfeiriad cyrraeddadwy, port marw

Mae ping llwyddiannus yn profi bod y gwesteiwr yn fyw ac bod llwybr yn bodoli. Nid yw’n dweud dim am ganiatâd i gyrraedd port 53, oherwydd mae’r hidlydd dan sylw yn gweithio ar haen wahanol ac yn dibynnu ar yr addasydd. Dyna pam y gall yr un peiriant ateb ICMP a gwrthod pob ymholiad a anfonir i’r un cyfeiriad. Rhedwch y ddau brawf yn yr un sesiwn cyn newid unrhyw ffurfweddiad.

ping <resolver-ip>
nslookup <name> <resolver-ip>

Y pâr yw’r diagnosiad. Mae traffig cyffredin i’r is-rwydwaith yn parhau i weithio tra mae datrys enwau yn marw, ac mae pobl yn dod i’r casgliad bod y gweinydd wedi torri neu na chafodd DNS ei wthio erioed. Mae’r ddwy esboniad yn ddrud i’w holrhain, ac mae’r dystiolaeth yn pwyntio at rywbeth culach. Cadarnhewch y pâr cyn cyffwrdd ag unrhyw osodiad.

Mae’r opsiwn yn rheol o’r platfform hidlo

Mae cyfeirlyfr OpenVPN yn disgrifio block-outside-dns fel cyfyngiad Windows Filtering Platform sy’n atal rhaglenni rhag cyrraedd DNS ar addasyddion y tu allan i’r twnnel. Mae’n cwmpasu TCP a UDP port 53. Gan fod yr hidlydd yn byw yn WFP yn hytrach nag yn rhestr arferol rheolau’r wal dân, nid yw ychwanegu rheol caniatáu yn rhywle arall o reidrwydd yn newid y canlyniad. Dyna pam mae’r cyngor cyffredin i ganiatáu DNS yn dal i fethu.

Gall yr osodiad ddod o’r proffil a fewnforiwyd neu o’r gweinydd, ac nid yw’r ffeil y gwnaethoch ei golygu ddiwethaf "yn brawf o’r hyn a lwythodd y cleient". Darllenwch y ffurfweddiad effeithiol a’r cofnod cysylltu gyda’i gilydd. Mae’r opsiwn hefyd yn un penodol i Windows, ac mae ei drin fel un cludadwy yn cynhyrchu cyngor nad yw’n berthnasol.

Chwiliwch am y gydran cleient sy’n berchen ar y cyfyngiad yn lle ychwanegu mwy o reolau. Y perchennog yw’r peth sy’n gallu ei dynnu mewn gwirionedd.

Nid yw hidlydd yn resolver

Nid yw blocio traffig y tu allan i’r twnnel yn gosod resolver gweithiol y tu mewn iddo. Mae’r opsiwn yn tynnu llwybr ac yn gadael ffurfweddiad DNS y twnnel i’r sawl a sefydlodd y proffil. Proffil na wthiodd resolver erioed bellach nid oes ganddo un o gwbl.

Ewch drwy dri gwiriad yn eu trefn. Yn gyntaf, pa resolver y mae’r rhaglen sy’n methu yn ei ddefnyddio mewn gwirionedd. Yn ail, a yw’r cleient wedi cymhwyso gosodiadau DNS y VPN. Yn drydydd, pa rwydweithydd sy’n cario traffig i’r resolver hwnnw.

1. Resolver yn cael ei ddefnyddio: cymharwch Resolve-DnsName -Server <resolver-ip> <name> â’r gweinyddion DNS a restrir gan ipconfig /all.
2. DNS y VPN wedi’i gymhwyso: archwiliwch gofnodion DNS addasydd y twnnel yn yr un allbwn o ipconfig /all.
3. Rhyngwyneb a ddefnyddir: mae Find-NetRoute -RemoteIPAddress <resolver-ip> yn enwi’r rhyngwyneb allan ar gyfer y cyrchfan honno.

Mae resolver LAN yn dod yn anghyrraeddadwy yn ôl y cynllun o dan y polisi hwn, hyd yn oed tra mae traffig LAN arall yn gweithio. Dyna’r opsiwn yn gwneud ei waith. Os oes angen DNS dros VPN ar y cynllun, trwsiwch gofrestriad y resolver a llwybr y twnnel; os oes angen DNS hollt gydag eithriadau lleol, rhaid i berchennog y ffurfweddiad fynegi’r eithriadau hynny mewn ffordd a gefnogir.

Yr hyn nad yw’r opsiwn yn ei gwmpasu

Nid yw port 53 yn gyfan y datrys enwau. Mae DNS over HTTPS a DNS over TLS yn defnyddio trafnidiaeth wahanol, ac mae rhai rhaglenni yn rhedeg eu rhesymeg resolver eu hunain beth bynnag fo gosodiadau’r system. Felly gall porwr ddatrys enwau tra na all y llinell orchymyn.

Triniwch y gwahaniaeth hwnnw fel diagnosiad yn hytrach nag fel gwrthgyferbyniad. Cymharwch y ddau cyn penderfynu bod resolver y system wedi torri.

Cadwch y casgliad yn gul pan fyddwch yn ei ysgrifennu. Mae’r opsiwn hwn yn cyfyngu un drafnidiaeth ar un platfform, ac mae gweddill y llwybr datrys yn gwestiwn cynllun ar wahân gyda’i berchennog ei hun.

Gwiriwch y cyflwr cyn ac ar ôl datgysylltu

Rhedwch yr un chwiliad yn ystod y cysylltiad ac eto ar ôl i’r cleient perchennog ddatgysylltu. Dylai’r cyntaf fethu ar gyfer resolver allanol tra mae’r twnnel i fyny, a dylai’r ail lwyddo unwaith y bydd yr hidlydd wedi’i dynnu. Os yw’n dal i fethu ar ôl datgysylltu, ni chafodd yr hidlydd ei lanhau.

ipconfig /displaydns
nslookup <name> <resolver-ip>

Mae ailgychwyn y gwasanaeth cleient neu’r peiriant fel arfer yn clirio hidlydd hen. Mae hynny’n cadarnhau’r diagnosiad heb brofi atgyweiriad parhaol. Cofnodwch yr hyn a welsodch, oherwydd bydd hidlydd sy’n goroesi datgysylltiad yn ei wneud eto, a’r cofnod yw’r hyn sy’n cyfiawnhau adroddiad byg.

Dim ond ar ôl y gwiriadau hynny y mae symud y resolver neu ailadeiladu’r polisi wal dân yn gwneud synnwyr. Mae’r ddau yn newidiadau mwy nag y mae’r dystiolaeth yn ei gefnogi.