Kes tegelikult rakendab OpenConnecti DNS-seadeid Windowsis?
Windows hoiab resolveri olekut kolmes kohas. Leidke abiline, kellele ühendus kuulub, enne kui muudate adapteri DNS-i käsitsi või lisate nimeruumireegli.
Tunneli püstitamine ei ole sama mis selle DNS-väärtuste paigaldamine. OpenConnect peab läbirääkimisi ja Windowsi-poolne abiline rakendab. Nende kahe sammu vahe seletab enamikku privaatnimede tõrkeid selles kliendis ning abiline ei ole peaaegu kunagi Windowsi VPN-i seadete leht.
Eraldage see, mida lüüs pakkus, sellest, mille Windows paigaldas
Klient annab ühenduse andmed skriptiliidesele ning Unixi ja Windowsi variandid on eraldi programmid. Windowsis on teostuseks tavaliselt JavaScript-abiline, mis loeb muutujaid nagu sisemine DNS-server ja sisemine domeen, enne kui puudutab ükskõik millist adapterit. Miski tunnelis endas ei kirjuta resolveri olekut.
See jaotus on oluline, sest väärtus võib läbirääkimistes olemas olla ja mitte kunagi adapterini jõuda. Abiline, mis puudub, ebaõnnestub poolel teel või on GUI-kesta sisse pakitud vanem koopia, jätab Windowsi täpselt selliseks, nagu see oli. Sessioon näib ühendatud, privaatnimi laheneb endiselt kohaliku teenusepakkuja kaudu ja miski kliendi aknas ei vihja erinevusele. Abilise enda väljundi lugemine on ainus usaldusväärne viis teada saada, milline etapp katki läks.
| Stage | What exists there | Where you see it |
|---|---|---|
| Negotiated | Internal DNS address and domain pushed by the gateway | Client log or helper input |
| Installed | Adapter DNS entry, connection suffix, or namespace rule | Adapter and policy queries |
| Selected | Resolver Windows uses for one specific query | The failing application |
GUI-kest võib tuua kaasa oma koopia kliendist ja abilisest, seega teine openconnect.exe kusagil mujal kettal ei tõesta midagi. Leidke käivitatav fail, mis sessiooni käivitas, enne kui hindate selle konfiguratsiooni.
Lugege resolveri olekut seda muutmata
Kolm ainult lugemise päringut katavad tavapärase segaduse ja igaüks vastab erinevale küsimusele:
Get-DnsClientServerAddress -AddressFamily IPv4
Get-DnsClient | Select-Object InterfaceAlias, ConnectionSpecificSuffix
Get-DnsClientNrptPolicy -EffectiveAdapteri tasemel server on see, mida enamik inimesi VPN-i DNS-i all mõtleb. Ühendusepõhine sufiks otsustab, kas lühinimi üldse laiendatakse. Nimeruumi poliitikate loend kehtib sobivatele nimedele sõltumata adapterite järjekorrast, ja tühi tulemus seal ei ole defekt, kui abiline ei kavatsenud kunagi üht luua. Kõigi kolme lugemine enne muutmist hoiab ära paranduse, mis lihtsalt viib sümptomi mujale.
Alustage täielikult kvalifitseeritud nimest. Kui FQDN laheneb ja lühinimi mitte, on tühik sufiks või otsinguloend, mitte serveri aadress.
Küsige kavandatud serverilt otse teise sammuna, kasutades ükskõik millist juba paigaldatud resolveri tööriista. Otsene vastus tõestab, et server on kättesaadav ja tsooni jaoks autoriteetne. See ei tõesta midagi selle kohta, millist serverit rakendus vaikimisi küsib.
Nimetage komponent, kellele ühendus kuulub
Levinud on kaks korraldust. Terminalist käivitatud klient edastab oma skriptitee selgesõnaliselt, seega on omanik nähtav käivitatud käsus. Pakendatud rakendus käivitab kliendi teie eest ja hoiab abilist oma kataloogis, mis tähendab, et tarnija otsustab, millal see muutub.
Võrrelge abilise versioone paigalduste vahel enne millegi vahetamist. Kõrgendatud õigustega peeglist tõmmatud abilise käivitamine seetõttu, et failinimi tundub tuttav, muudab DNS-i tühiku turvaintsidendiks.
Kui omanik on teada, muutub parandusobjekt ilmselgeks: toetatud skriptitee käivitajas, paketi värskendus või parandatud profiil lüüsil. Miski neist ei nõua adapteri omaduste käsitsi muutmist.
Parandage omanikku, mitte adapterit
Käsitsi seatud adapteri DNS jääb sageli ühenduse katkemisest alles, mistõttu tundub, et see töötab, ja tekitab siis järgmises võrgus probleeme. Igale liidesele kinnitatud avalik resolver peidab privaatse nimeruumi probleemi selle lahendamise asemel. Kui abiline ei saanud kunagi DNS-väärtust, tuleb vaadata lüüsi profiili. Kui ta selle sai ja adapter näitab endiselt vana serverit, ebaõnnestus abiline ühendumise ajal ning kliendi logi registreerib selle tavaliselt tunneli seadistamise ridade lähedal.
Taastage olek toetatud teed pidi ja kontrollige siis tervet tsüklit: ühenduge, lahendage privaatne FQDN, avage teenus, katkestage ühendus ja kinnitage, et adapter tuli tagasi oma varasemate serveritega.
Kontrollige rakendust, mis tegelikult ebaõnnestub
Krüpteeritud DNS-i seadega brauser eirab kõike ülaltoodut ja vastab endiselt avalikust resolverist. Rakendus, mis hoiab vahemällu salvestatud eitavat vastust enne tunneli püstitamist, käitub samamoodi. Võrrelge seda tavalise süsteemipäringuga samas masinas enne resolveri aadresside uuesti muutmist.
Kui süsteemipäring on õige ja rakendus vale, asub ülejäänud viga selle rakenduse DNS-konfiguratsioonis, mitte VPN-i teel.