Pam mae Windows yn anfon eich enwau VPN at weinydd DNS na wnaethoch chi erioed ei osod

Rydych chi'n gosod y gweinydd DNS ar addasydd y VPN, yn ailgysylltu, ac mae'r enw preifat yn dal i ddod yn ôl o ddatryswr y swyddfa na wnaeth neb ei ffurfweddu ar y gliniadur hwn. Mae'r canlyniad yn edrych fel petai'r gosodiad wedi cael ei anwybyddu, ac mewn ffordd gwnaeth, oherwydd casgliad o ymgeiswyr yw rhestr yr addasydd, nid penderfyniad. Mae Windows yn datrys enwau trwy bolisi gofod enw a all enwi gweinydd gwahanol ar gyfer ôl-ddodiad penodol, a chaiff y polisi hwnnw ei gymhwyso cyn i osodiad yr addasydd gael ei ystyried. Mae dod o hyd i'r rheol a enillodd yn waith pum munud unwaith y gwyddoch pa dabl i'w ddarllen.

Beth wnaethoch chi ei newid, a beth sy'n penderfynu mewn gwirionedd

Mae'r cyfeiriad DNS ar addasydd yn dweud wrth y cleient ble y gallai'r rhyngwyneb hwnnw anfon ymholiadau. Mae'r Tabl Polisi Datrys Enwau yn dweud wrth y cleient ble mae'n rhaid iddo anfon ymholiadau ar gyfer gofod enw penodol, ac fe'i gwerthusir fesul enw, nid fesul addasydd. Pan fydd rheol yn cyfateb i'r ôl-ddodiad a deipioch, defnyddir gweinyddion y rheol ac nid yw rhestr yr addasydd yn bwysig mwyach i'r chwiliad hwnnw.

Dyma pam y gall dau enw ar yr un gliniadur ddilyn llwybrau gwahanol ar yr un pryd. Mae gwesteiwr o dan yr ôl-ddodiad corfforaethol yn dilyn ei reol; mae enw cyhoeddus yn dilyn y llwybr diofyn, sydd fel arfer yn golygu pa addasydd bynnag sy'n ateb gyntaf.

Sut mae'r tabl yn cyfateb enw

Mae rheolau wedi'u hallweddu yn ôl gofod enw, a'r cyfatebiad mwyaf penodol sy'n ennill. Mae rheol ar gyfer corp.example yn berthnasol i vpn.corp.example ac nid yw'n berthnasol i example.net. Mae rheol â'r gofod enw . yn cwmpasu popeth nad yw'r rheolau eraill yn ei gwmpasu, sy'n ei gwneud yn gofnod mwyaf peryglus y rhestr ac yn un sy'n werth ei wirio pan fydd safle di-gyswllt yn datrys drwy'r twnnel.

Gall rheol hefyd gynnwys sylw, polisi sy'n analluogi'r cofnod, a gosodiadau diogelwch heb unrhyw berthynas â chyfeiriadau DNS. Mae rheol analluog yn aros yn weladwy yn y ffurfweddiad heb unrhyw effaith, felly gall cofnod sy'n edrych yn gywir ar bapur fod yn ddi-rym ar ôl newid proffil.

Darllenwch y tabl effeithiol, nid y rhestr ddymuniadau

Mae rheolau wedi'u ffurfweddu a rheolau effeithiol yn ddau gwestiwn gwahanol. Mae Get-DnsClientNrptRule yn rhestr beth sydd ar y peiriant. Mae Get-DnsClientNrptPolicy -Effective yn dangos beth fydd y cleient yn ei gymhwyso mewn gwirionedd, gyda'r gwerthoedd wedi'u cyfuno o'r polisi a'r gosodiadau lleol.

Cymharwch yr ôl-ddodiad yn yr allbwn hwnnw â'r enw rydych chi'n ei brofi, nod wrth nod. Nid yw rheol ar gyfer corp.example yn dal enw sy'n gorffen gyda corp.example.com, ac mae dot ar y diwedd mewn un man ac nid yn y llall yn ddigon i newid y cyfatebiad.

Heb reol, mae Windows yn gofyn i fwy nag un addasydd

Pan nad oes unrhyw beth yn y tabl yn hawlio'r enw, gall y cleient anfon yr ymholiad allan trwy sawl rhyngwyneb a chymryd yr ateb cyntaf sy'n cyrraedd. Mae'r canlyniad yn dibynnu ar amser: gall yr un enw ddatrys o'r addasydd gwifren ddydd Llun ac o'r twnnel ddydd Mawrth, ac nid oes unrhyw beth yn ffurfweddiad y naill addasydd na'r llall yn esbonio'r gwahaniaeth.

Mae dau ffordd allan. Ychwanegwch reol ar gyfer y gofod enw fel bod y penderfyniad yn peidio â bod yn ras, neu ddiffoddwch yr ymddygiad cyfochrog trwy bolisi cleient DNS a derbyniwch y datrysiad arafach, pendant. Mae'r cyntaf fel arfer yn fwy addas ar gyfer VPN twnnel hollt, oherwydd mae'n dogfennu'r bwriad yn lle dibynnu ar drefn.

Llwybrau sy'n osgoi'r datryswr yn llwyr

Mae porwr â DNS diogel wedi'i alluogi yn datrys ar ei ben ei hun ac yn rhoi'r cyfeiriad yn unig i Windows, felly nid yw'r tabl rheolau byth yn gweld yr enw. Gall cleientiaid a adeiladwyd ar amgylcheddau â'u datryswr eu hunain ymddwyn yr un ffordd. Pan fydd enw'n datrys mewn un rhaglen ac yn methu mewn un arall ar yr un peiriant, cymharwch y ddau lwybr datrys cyn cyffwrdd â'r polisi.

Gwiriwch hefyd a yw'r ap yn cysylltu â chyfeiriad wedi'i storio o sesiwn gynharach. Mae Clear-DnsClientCache ac yna'r un chwiliad yn rhoi ateb glanach na dyfalu o ganlyniad hen.

Profwch gyda'r enw a fethodd

Datryswch yr union enw gwesteiwr o'r adroddiad, nid parth prawf cyflymder cyhoeddus, a nodwch pa weinydd a atebodd. Yna newidiwch un peth: y rheol, rhestr yr addasydd, neu'r neilltuo polisi, ac ailadroddwch yr un chwiliad ar ôl ailgysylltu fel bod y cyflwr cymhwysedig yn cael ei ailadeiladu.

Os yw'r enw'n datrys ac mae'r gwasanaeth yn dal i wrthod, stopiwch olygu DNS. Y cam defnyddiol nesaf yw'r cyfeiriad a'r llwybr iddo, oherwydd mae datrys enwau eisoes wedi gwneud ei waith.