Γιατί τα Windows στέλνουν τα ονόματα του VPN σε διακομιστή DNS που δεν ρυθμίσατε ποτέ

Ρυθμίζετε τον διακομιστή DNS στον προσαρμογέα του VPN, επανασυνδέεστε, και το ιδιωτικό όνομα εξακολουθεί να έρχεται από τον resolver του γραφείου που κανείς δεν διαμόρφωσε σε αυτόν τον φορητό υπολογιστή. Το αποτέλεσμα μοιάζει σαν να αγνοήθηκε η ρύθμιση, και κατά μία έννοια αγνοήθηκε, επειδή η λίστα προσαρμογέων είναι σύνολο υποψηφίων και όχι απόφαση. Τα Windows επιλύουν ονόματα μέσω πολιτικής χώρου ονομάτων που μπορεί να ορίσει άλλον διακομιστή για συγκεκριμένο επίθεμα, και αυτή η πολιτική εφαρμόζεται πριν εξεταστεί η ρύθμιση του προσαρμογέα. Το να βρείτε τον κανόνα που κέρδισε είναι δουλειά πέντε λεπτών μόλις ξέρετε ποιον πίνακα να διαβάσετε.

Τι αλλάξατε και τι αποφασίζει στην πραγματικότητα

Η διεύθυνση DNS σε έναν προσαρμογέα λέει στον πελάτη πού θα μπορούσε να στέλνει ερωτήματα αυτή η διεπαφή. Ο πίνακας πολιτικής επίλυσης ονομάτων λέει στον πελάτη πού πρέπει να στέλνει ερωτήματα για έναν δεδομένο χώρο ονομάτων, και αξιολογείται ανά όνομα, όχι ανά προσαρμογέα. Όταν ένας κανόνας ταιριάζει με το επίθεμα που πληκτρολογήσατε, χρησιμοποιούνται οι διακομιστές του κανόνα και η λίστα προσαρμογέων παύει να έχει σημασία για αυτή την αναζήτηση.

Γι' αυτό δύο ονόματα στον ίδιο φορητό υπολογιστή μπορούν την ίδια στιγμή να ακολουθήσουν διαφορετικές διαδρομές. Ένας κεντρικός υπολογιστής κάτω από το εταιρικό επίθεμα ακολουθεί τον κανόνα του και ένα δημόσιο όνομα ακολουθεί την προεπιλεγμένη διαδρομή, που συνήθως σημαίνει τον προσαρμογέα που απαντά πρώτος.

Πώς ο πίνακας αντιστοιχίζει ένα όνομα

Οι κανόνες κλειδώνονται ανά χώρο ονομάτων και κερδίζει η πιο συγκεκριμένη αντιστοίχιση. Ένας κανόνας για corp.example ισχύει για το vpn.corp.example και δεν ισχύει για το example.net. Ένας κανόνας με χώρο ονομάτων . καλύπτει ό,τι δεν καλύπτουν οι άλλοι κανόνες, γεγονός που τον καθιστά την πιο επικίνδυνη καταχώριση της λίστας και εκείνη που αξίζει έλεγχο όταν ένας άσχετος ιστότοπος επιλύεται μέσω της σήραγγας.

Ένας κανόνας μπορεί επίσης να φέρει σχόλιο, πολιτική που απενεργοποιεί την καταχώριση, και ρυθμίσεις ασφαλείας που δεν έχουν καμία σχέση με διευθύνσεις DNS. Ένας απενεργοποιημένος κανόνας παραμένει ορατός στη διαμόρφωση χωρίς καμία επίδραση, οπότε μια καταχώριση που φαίνεται σωστή στο χαρτί μπορεί να παραμείνει ανενεργή μετά από αλλαγή προφίλ.

Διαβάστε τον ενεργό πίνακα, όχι τη λίστα επιθυμιών

Οι διαμορφωμένοι κανόνες και οι ενεργοί κανόνες είναι δύο διαφορετικά ερωτήματα. Το Get-DnsClientNrptRule απαριθμεί τι υπάρχει στο μηχάνημα. Το Get-DnsClientNrptPolicy -Effective δείχνει τι θα εφαρμόσει πραγματικά ο πελάτης, με τις τιμές συγχωνευμένες από την πολιτική και τις τοπικές ρυθμίσεις.

Συγκρίνετε το επίθεμα σε αυτή την έξοδο με το όνομα που δοκιμάζετε, χαρακτήρα προς χαρακτήρα. Ένας κανόνας για corp.example δεν πιάνει όνομα που τελειώνει σε corp.example.com, και μια τελεία στο τέλος σε ένα σημείο και όχι στο άλλο αρκεί για να αλλάξει η αντιστοίχιση.

Χωρίς κανόνα, τα Windows ρωτούν περισσότερους από έναν προσαρμογείς

Όταν τίποτα στον πίνακα δεν διεκδικεί το όνομα, ο πελάτης μπορεί να στείλει το ερώτημα μέσα από πολλές διεπαφές και να πάρει την πρώτη απάντηση που φτάνει. Το αποτέλεσμα εξαρτάται από τον χρόνο: το ίδιο όνομα μπορεί να επιλυθεί από τον ενσύρματο προσαρμογέα τη Δευτέρα και από τη σήραγγα την Τρίτη, και τίποτα στη διαμόρφωση κανενός προσαρμογέα δεν εξηγεί τη διαφορά.

Υπάρχουν δύο διέξοδοι. Προσθέστε κανόνα για τον χώρο ονομάτων ώστε η απόφαση να πάψει να είναι αγώνας, ή απενεργοποιήστε την παράλληλη συμπεριφορά μέσω της πολιτικής πελάτη DNS και δεχτείτε την πιο αργή, ντετερμινιστική επίλυση. Η πρώτη ταιριάζει συνήθως καλύτερα σε VPN με διαχωρισμένη σήραγγα, επειδή τεκμηριώνει την πρόθεση αντί να βασίζεται στη σειρά.

Διαδρομές που παρακάμπτουν εντελώς τον resolver

Ένα πρόγραμμα περιήγησης με ενεργό ασφαλές DNS επιλύει μόνο του και δίνει στα Windows μόνο τη διεύθυνση, οπότε ο πίνακας κανόνων δεν βλέπει ποτέ το όνομα. Πελάτες χτισμένοι σε περιβάλλοντα με δικό τους resolver μπορούν να συμπεριφερθούν το ίδιο. Όταν ένα όνομα επιλύεται σε μια εφαρμογή και αποτυγχάνει σε άλλη στο ίδιο μηχάνημα, συγκρίνετε τις δύο διαδρομές επίλυσης πριν αγγίξετε την πολιτική.

Ελέγξτε επίσης αν η εφαρμογή συνδέεται σε διεύθυνση από προσωρινή μνήμη προηγούμενης συνεδρίας. Το Clear-DnsClientCache και μετά η ίδια αναζήτηση δίνει καθαρότερη απάντηση από το να συμπεράνετε από παλιό αποτέλεσμα.

Δοκιμάστε με το όνομα που απέτυχε

Επιλύστε το ακριβές όνομα κεντρικού υπολογιστή από την αναφορά, όχι δημόσιο τομέα δοκιμής ταχύτητας, και σημειώστε ποιος διακομιστής απάντησε. Έπειτα αλλάξτε ένα πράγμα: τον κανόνα, τη λίστα προσαρμογέων ή την εκχώρηση πολιτικής, και επαναλάβετε την ίδια αναζήτηση μετά από επανασύνδεση ώστε να ξαναχτιστεί η εφαρμοσμένη κατάσταση.

Αν το όνομα επιλύεται και η υπηρεσία εξακολουθεί να αρνείται, σταματήστε να επεξεργάζεστε το DNS. Το επόμενο χρήσιμο βήμα είναι η διεύθυνση και η διαδρομή προς αυτήν, επειδή η επίλυση ονομάτων έχει ήδη κάνει τη δουλειά της.