Miks DNS lakkab Windowsis OpenVPN-i ühendamise järel töötamast

Resolver vastab endiselt pingile, samal ajal kui port 53 ei vii kuhugi. Kontrollige, kas block-outside-dns filtreerib, ja pakkuge seejärel resolver, kuhu tunnel ulatub.

Ping kontori resolverile saab "OpenVPN" ühendamise järel endiselt vastuse, kuid iga nimeotsing siiski ebaõnnestub. Aadress on kättesaadav, port aga mitte, kombinatsioon, mis on mõistetav, kui tead, et Windows suudab DNS-i adapteri kaupa filtreerida. Kui profiilis on block-outside-dns, on see filter esimene kahtlusalune ja marsruuditabel on vale koht, kust otsida. Kaks allolevat testi eraldavad kihid sekunditega.

Kättesaadav aadress, surnud port

Edukas ping tõestab, et host on üleval ja tee on olemas. See ei ütle midagi loa kohta jõuda porti 53, sest kõnealune filter töötab teisel kihil ja sõltub adapterist. Seetõttu võib sama masin vastata ICMP-le ja keelduda igast samale aadressile saadetud päringust. Käivitage mõlemad testid samas seansis enne mis tahes konfiguratsiooni muutmist.

ping <resolver-ip>
nslookup <name> <resolver-ip>

See paar ongi diagnoos. Tavaline liiklus alamvõrku jätkub, samal ajal kui nimede lahendamine sureb, ja inimesed järeldavad, et server on katki või et DNS-i ei saadetudki. Mõlema seletuse taga ajamine on kallis ning tõendid osutavad kitsamale kohale. Kinnitage paar enne seade puudutamist.

See valik on filtreerimisplatvormi reegel

OpenVPN-i viide kirjeldab block-outside-dns-i kui Windows Filtering Platformi piirangut, mis takistab rakendustel jõuda DNS-ini väljaspool tunnelit asuvatel adapteritel. See hõlmab TCP ja UDP porti 53. Kuna filter elab WFP-s, mitte tavalises tulemüürireeglite loendis, ei muuda lubamisreegli lisamine mujale tulemust tingimata. Seetõttu ebaõnnestub tavaline soovitus DNS-i lubada endiselt.

Seade võib tulla imporditud profiilist või serverist, ja fail, mida viimati redigeerisite, "ei tõenda, mida klient laadis". Lugege kehtivat konfiguratsiooni ja ühenduslogi koos. Valik on ka Windowsi-spetsiifiline, ja selle kaasaskantavana käsitlemine annab nõuandeid, mis ei kehti.

Otsige kliendikomponenti, kellele piirang kuulub, selle asemel et lisada veel reegleid. Omanik on see, mis suudab selle tegelikult eemaldada.

Filter ei ole resolver

Väljaspool tunnelit liikluse blokeerimine ei paigalda selle sisse töötavat resolverit. Valik eemaldab tee ja jätab tunneli DNS-konfiguratsiooni selle hooleks, kes profiili seadis. Profiil, mis ei saatnud kunagi resolverit, ei oma seda nüüd üldse.

Käige kolm kontrolli järjekorras läbi. Esiteks, millist resolverit ebaõnnestuv rakendus tegelikult kasutab. Teiseks, kas klient rakendas VPN-i DNS-i seaded. Kolmandaks, milline liides kannab liiklust selle resolverini.

  1. Kasutusel resolver: võrrelge Resolve-DnsName -Server <resolver-ip> <name> DNS-serveritega, mille ipconfig /all loetleb.
  2. VPN-i DNS rakendatud: vaadake tunneli adapteri DNS-kirjeid sama ipconfig /all väljundis.
  3. Kasutatud liides: Find-NetRoute -RemoteIPAddress <resolver-ip> nimetab selle sihtkoha väljuva liidese.

LAN-i resolver muutub selle poliitika all projekteeritult kättesaamatuks, isegi kui muu LAN-liiklus töötab. See on valik oma tööd tegemas. Kui projekt vajab VPN-i DNS-i, parandage resolveri registreerimine ja tunneli tee; kui on vaja split DNS-i kohalike eranditega, peab konfiguratsiooni omanik need erandid toetatud viisil väljendama.

Mida valik ei kata

Port 53 ei ole kogu nimede lahendamine. DNS over HTTPS ja DNS over TLS kasutavad erinevaid transpordiviise ning mõned rakendused ajavad oma resolveriloogikat sõltumata süsteemiseadetest. Seetõttu võib brauser nimesid lahendada, samal ajal kui käsurida ei suuda.

Käsitlege seda erinevust diagnoosina, mitte vastuoluna. Võrrelge mõlemat enne, kui otsustate, et süsteemi resolver on katki.

Hoidke järeldus kitsas, kui selle kirja panete. See valik piirab üht transpordiviisi ühel platvormil ning ülejäänud lahendustee on eraldi disainiküsimus oma omanikuga.

Kontrollige olekut enne ja pärast lahtiühendamist

Käivitage sama otsing ühenduse ajal ja uuesti pärast seda, kui omanikklient lahti ühendab. Esimene peaks välisele resolverile ebaõnnestuma, kuni tunnel on üleval, ja teine peaks õnnestuma, kui filter on eemaldatud. Kui see ei õnnestu ka pärast lahtiühendamist, ei olnud filtrit koristatud.

ipconfig /displaydns
nslookup <name> <resolver-ip>

Klienditeenuse või masina taaskäivitamine koristab tavaliselt vana filtri. See kinnitab diagnoosi, tõestamata püsivat parandust. Pange kirja, mida nägite, sest lahtiühendamise üle elav filter teeb seda uuesti, ja just kirje õigustab veaaruannet.

Alles pärast neid kontrolle on mõtet resolver välja vahetada või tulemüüri poliitika ümber ehitada. Mõlemad on suuremad muudatused, kui tõendid toetavad.

Seotud artiklid