Kial Windows sendas viajn VPN-nomojn al DNS-servilo, kiun vi neniam agordis

Vi agordas la DNS-servilon sur la VPN-adaptilo, rekonektas, kaj la privata nomo ankoraŭ revenas de la oficeja solvilo, kiun neniu agordis sur ĉi tiu tekkomputilo. La rezulto aspektas kvazaŭ la agordo estis ignorita, kaj iusence ĝi estis, ĉar la adaptila listo estas aro de kandidatoj, ne decido. Windows solvas nomojn per politiko de nomspaco, kiu povas nomi alian servilon por specifa sufikso, kaj tiu politiko aplikiĝas antaŭ ol la adaptila agordo estas konsultata. Trovi la regulon, kiu venkis, estas kvinminuta tasko post kiam vi scias, kiun tabelon legi.

Kion vi ŝanĝis, kaj kio efektive decidas

La DNS-adreso sur adaptilo diras al la kliento, kien tiu interfaco povus sendi demandojn. La tabelo de politiko pri nomsolvado diras al la kliento, kien ĝi devas sendi demandojn por difinita nomspaco, kaj ĝi estas taksata laŭ nomo, ne laŭ adaptilo. Kiam regulo kongruas kun la sufikso, kiun vi tajpis, uziĝas la serviloj de la regulo kaj la adaptila listo ĉesas gravi por tiu serĉo.

Tial du nomoj sur la sama tekkomputilo povas sammomente sekvi malsamajn vojojn. Gastiganto sub la entreprena sufikso sekvas sian regulon; publika nomo sekvas la defaŭltan vojon, kio kutime signifas la adaptilon, kiu respondas unue.

Kiel la tabelo kongruigas nomon

Reguloj estas ŝlositaj laŭ nomspaco, kaj la plej specifa kongruo venkas. Regulo por corp.example aplikiĝas al vpn.corp.example kaj ne aplikiĝas al example.net. Regulo kun la nomspaco . kovras ĉion, kion la aliaj reguloj ne kovras, kio faras ĝin la plej danĝera ero en la listo kaj tiu, kiun indas kontroli, kiam nerilata retejo solviĝas tra la tunelo.

Regulo ankaŭ povas porti komenton, politikon, kiu malŝaltas la eron, kaj sekurecajn agordojn, kiuj havas nenion komunan kun DNS-adresoj. Malŝaltita regulo restas videbla en la agordo sen efiko, do ero, kiu aspektas ĝusta surpapere, povas resti senefika post profila ŝanĝo.

Legu la efektivan tabelon, ne la deziroliston

Agorditaj reguloj kaj efektivaj reguloj estas du malsamaj demandoj. Get-DnsClientNrptRule listigas, kio ekzistas sur la maŝino. Get-DnsClientNrptPolicy -Effective montras, kion la kliento efektive aplikos, kun la valoroj kunfanditaj el politiko kaj lokaj agordoj.

Komparu la sufikson en tiu eligo kun la nomo, kiun vi testas, signon post signo. Regulo por corp.example ne kaptas nomon finiĝantan per corp.example.com, kaj punkto ĉe la fino en unu loko kaj ne en la alia sufiĉas por ŝanĝi la kongruon.

Sen regulo Windows demandas pli ol unu adaptilon

Kiam nenio en la tabelo postulas la nomon, la kliento povas sendi la demandon tra pluraj interfacoj kaj preni la unuan alvenantan respondon. La rezulto dependas de la tempo: la sama nomo povas solviĝi el la kabla adaptilo lunde kaj el la tunelo marde, kaj nenio en la agordo de iu ajn adaptilo klarigas la diferencon.

Ekzistas du elirejoj. Aldonu regulon por la nomspaco, por ke la decido ĉesu esti konkurso, aŭ malŝaltu la paralelan konduton per la DNS-klienta politiko kaj akceptu la pli malrapidan, determinisman solvadon. La unua kutime pli taŭgas por VPN kun dividita tunelo, ĉar ĝi dokumentas la intencon anstataŭ fidi la ordon.

Vojoj, kiuj tute preterpasas la solvilon

Retumilo kun ŝaltita sekura DNS solvas mem kaj donas al Windows nur la adreson, do la regula tabelo neniam vidas la nomon. Klientoj konstruitaj sur rulmedioj kun propra solvilo povas konduti same. Kiam nomo solviĝas en unu aplikaĵo kaj malsukcesas en alia sur la sama maŝino, komparu la du solvovojojn antaŭ ol tuŝi la politikon.

Kontrolu ankaŭ, ĉu la aplikaĵo konektas al kaŝmemorita adreso el pli frua seanco. Clear-DnsClientCache kaj poste la sama serĉo donas pli puran respondon ol konkludi el malnova rezulto.

Testu per la nomo, kiu malsukcesis

Solvu la ĝustan gastigantnomon el la raporto, ne publikan domajnon por rapidtesto, kaj notu, kiu servilo respondis. Poste ŝanĝu unu aferon: la regulon, la adaptilan liston aŭ la politikan donon, kaj ripetu la saman serĉon post rekonekto, por ke la aplikita stato estu rekonstruita.

Se la nomo solviĝas kaj la servo ankoraŭ rifuzas, ĉesu redakti DNS. La sekva utila paŝo estas la adreso kaj la vojo al ĝi, ĉar nomsolvado jam faris sian laboron.