Γιατί το nslookup επιλύει μέσω VPN αλλά ο περιηγητής δεν μπορεί

Το nslookup στέλνει ένα ερώτημα στον διακομιστή που ονομάζετε και εκτυπώνει την απάντηση, γι' αυτό μπορεί να πετύχει ενώ κάθε καρτέλα του περιηγητή αποτυγχάνει. Ο περιηγητής ζητά από το λειτουργικό σύστημα να επιλύσει, και το σύστημα σταθμίζει επιλυτές ανά διασύνδεση, κανόνες πολιτικής επίλυσης ονομάτων και τη θέση δικτύου του προσαρμογέα. Έπειτα ο περιηγητής μπορεί να προσθέσει το δικό του κρυπτογραφημένο DNS από πάνω. Τρεις διαφορετικές διαδρομές, ένα σύμπτωμα, και η σήραγγα συνήθως δεν είναι το χαλασμένο μέρος.

Οι έλεγχοι παρακάτω ακολουθούν αυτές τις διαδρομές από το σύστημα προς τα έξω. Μην επεξεργαστείτε το προφίλ του VPN πριν μάθετε ποια διαδρομή απάντησε και ποια απέτυχε.

Τρεις πολιτικές καθορίζουν την απάντηση

Κάθε διασύνδεση φέρει τη δική της λίστα επιλυτών και καταλήξεις αναζήτησης. Ένας προσαρμογέας VPN προσθέτει διακομιστές ενώ ο φυσικός προσαρμογέας κρατά τους δικούς του, και το σύστημα μπορεί να πάρει όποιον απαντήσει πρώτος, ώστε μια αναζήτηση να εξυπηρετηθεί εκτός σήραγγας χωρίς να το επιλέξει κανείς. Οι κανόνες του πίνακα πολιτικής επίλυσης ονομάτων μπορούν να στέλνουν επιλεγμένους τομείς σε επιλεγμένους διακομιστές, κι έτσι εκφράζεται συνήθως το split DNS στα Windows. Και ο πελάτης ή η πύλη VPN μπορεί να προωθήσει μια διεύθυνση επιλυτή που υπάρχει μόνο μέσα στο ιδιωτικό δίκτυο.

Αυτά τα τρία αλληλεπιδρούν με τρόπους που φαίνονται αυθαίρετοι από έναν περιηγητή. Ένας προωθημένος επιλυτής σε ιδιωτική διεύθυνση χωρίς διαδρομή μέσα από τη διαχωρισμένη σήραγγα κάνει κάθε αναζήτηση να κολλάει και μετά να αποτυγχάνει. Ένας κανόνας πολιτικής που καλύπτει την εσωτερική κατάληξη και δείχνει σε διακομιστή εκτός λειτουργίας παράγει το ίδιο ορατό σφάλμα με μια διαδρομή που λείπει. Μια κατάληξη αναζήτησης που λείπει από τον προσαρμογέα VPN μετατρέπει ένα σύντομο όνομα σε δημόσιο ερώτημα για λάθος τομέα. Κάθε ένα χρειάζεται διαφορετική επισκευή.

Γιατί ο περιηγητής κάνει διαφορετική ερώτηση

Το nslookup εκδίδει το δικό του ερώτημα στον διακομιστή που επιλέγει και δεν ακολουθεί ούτε την πολιτική χώρου ονομάτων ούτε τη ρύθμιση κρυπτογραφημένου DNS του περιηγητή. Γι' αυτό ένα χειροκίνητο ερώτημα προς δημόσιο επιλυτή απαντά ενώ ο περιηγητής αναφέρει ότι ο ιστότοπος δεν υπάρχει. Συγκρίνετε δύο προγράμματα, όχι δύο καταστάσεις ενός προγράμματος.

Η προτίμηση οικογένειας διευθύνσεων εξηγεί καθυστέρηση και όχι αποτυχία. Ένας περιηγητής που ζητά πρώτα εγγραφές IPv6 σε σήραγγα που μεταφέρει μόνο IPv4 περιμένει να λήξει το όριο χρόνου πριν υποχωρήσει. Ο Firefox έφερε προτίμηση ακριβώς γι' αυτό, και η απενεργοποίησή της είναι διαγνωστικό βήμα, όχι επισκευή.

Διαβάστε τη λίστα επιλυτών και τους κανόνες

Στα Windows, εκτυπώστε ό,τι κρατά το σύστημα πριν θεωρητικολογήσετε. Το Get-DnsClientServerAddress δείχνει τους διακομιστές ανά διασύνδεση, το Get-DnsClientNrptRule απαριθμεί τους κανόνες χώρου ονομάτων, και το Resolve-DnsName απαντά στο ακριβές όνομα μέσω της διαδρομής του συστήματος. Συγκρίνετε αυτή την απάντηση με ένα άμεσο ερώτημα στον διακομιστή του VPN κατά διεύθυνση. Όταν το Resolve-DnsName αποτυγχάνει και το άμεσο ερώτημα πετυχαίνει, ύποπτη είναι η λίστα επιλυτών ή ένας κανόνας χώρου ονομάτων.

Ελέγξτε και το ίδιο το όνομα. Ένα εσωτερικό σύντομο όνομα μπορεί να χρειάζεται την ιδιωτική κατάληξη που παρέχει μόνο ο προσαρμογέας VPN, ενώ το πλήρως πιστοποιημένο όνομα επιλύεται καλά. Μια προειδοποίηση πιστοποιητικού μετά από επιτυχή αναζήτηση ανήκει σε άλλο πρόβλημα.

Ο απρόσιτος προωθημένος επιλυτής

Η πύλη ή ο πελάτης μπορεί να προωθήσει μια διεύθυνση επιλυτή, και αυτή η διεύθυνση πρέπει να είναι προσβάσιμη μέσω της σήραγγας. Σε διαχωρισμένη σήραγγα το ιδιωτικό εύρος που περιέχει τον επιλυτή μπορεί να μην είναι στις συμπεριληφθείσες διαδρομές, κάτι που παράγει αναζήτηση που δεν παίρνει ποτέ απάντηση. Επιβεβαιώστε ότι η διαδρομή υπάρχει και μετά ρωτήστε τη διεύθυνση αυτή ειδικά, μέσω της σήραγγας. Αυτή είναι η αποτυχία πίσω από σφάλμα τομέα στον περιηγητή ενώ ένας δημόσιος επιλυτής ακόμη απαντά.

Αν ο επιλυτής είναι απρόσιτος, η επισκευή είναι διαδρομή ή συμπεριληφθέν υποδίκτυο, όχι άλλος διακομιστής DNS.

Το κρυπτογραφημένο DNS παρακάμπτει όλη τη διαδρομή

Οι περιηγητές με DNS-over-HTTPS επιλύουν ονόματα μόνοι τους μέσω σύνδεσης HTTPS σε επιλεγμένο πάροχο. Με αυτό ενεργό, ο επιλυτής του συστήματος και οι κανόνες split DNS παρακάμπτονται εντελώς για αυτές τις αναζητήσεις, οπότε εσωτερικά ονόματα αποτυγχάνουν στον περιηγητή ενώ το λειτουργικό σύστημα τα επιλύει σωστά. Συμβαίνει και το αντίστροφο: εσωτερικά ονόματα πετυχαίνουν στον περιηγητή μέσω παρόχου που δεν θα έπρεπε ποτέ να τα δει, και αυτό είναι πρόβλημα πολιτικής και όχι συνδεσιμότητας.

Αποφασίστε συνειδητά αν το κρυπτογραφημένο DNS επιτρέπεται σε διαχειριζόμενες συσκευές, και μετά διαμορφώστε το μέσω της επιφάνειας διαχείρισης του περιηγητή ώστε η επιλογή να είναι ορατή. Η αφαίρεσή του στην ατομική προτίμηση παράγει στόλο όπου το ίδιο VPN συμπεριφέρεται διαφορετικά σε κάθε φορητό υπολογιστή.

Επισκευές που ταιριάζουν στην αποτυχία

Αν το VPN προωθεί τον επιλυτή του, κάντε τη σήραγγα να μεταφέρει κίνηση προς αυτόν και κάντε την ίδια ρύθμιση ορατή στους προσαρμογείς που συμμετέχουν στην επίλυση. Αν οι τοπικοί ιστότοποι σταματήσουν να επιλύονται ενώ είστε συνδεδεμένοι, προσθέστε ρητές εξαιρέσεις χώρου ονομάτων ή έναν υπό όρους προωθητή αντί να αντικαταστήσετε τον επιλυτή συνολικά. Αν το κρυπτογραφημένο DNS του περιηγητή παρακάμπτει την πολιτική, αυτή είναι η ρύθμιση που πρέπει να αλλάξει. Μην προσθέτετε ποτέ δημόσιο επιλυτή για να διορθώσετε εσωτερικό όνομα: διαρρέει ιδιωτικά ερωτήματα και δεν επιλύει το όνομα.

Έπειτα χωρίστε την αναζήτηση από τη σύνδεση. Ένα όνομα που επιλύεται στη σωστή διεύθυνση αλλά αρνείται σύνδεση είναι πρόβλημα υπηρεσίας, τείχους προστασίας ή πιστοποιητικού, και οι αλλαγές DNS δεν θα το διορθώσουν.

Καταγράψτε ποια διαδρομή απάντησε, ποια απέτυχε και τι αλλάξατε. Η επόμενη αναφορά του ίδιου συμπτώματος θα απαιτεί τότε μία εντολή αντί για ένα απόγευμα.