Miks nslookup lahendab VPN-i kaudu, aga brauser mitte

nslookup saadab päringu serverile, mille te nimetate, ja prindib vastuse, seepärast võib see õnnestuda, kui iga brauseri vahekaart ebaõnnestub. Brauser palub operatsioonisüsteemil lahendada ning süsteem kaalub liidesepõhiseid resolvereid, nimeresolutsiooni poliitika reegleid ja adapteri võrgukohta. Seejärel võib brauser lisada selle peale oma krüpteeritud DNS-i. Kolm erinevat teed, üks sümptom, ja tunnel ei ole tavaliselt katkine osa.

Allpool olevad kontrollid järgivad neid teid süsteemist väljapoole. Ärge muutke VPN-profiili enne, kui teate, milline tee vastas ja milline ebaõnnestus.

Vastuse otsustavad kolm poliitikat

Iga liides kannab oma resolverite loendit ja otsingusufikse. VPN-adapter lisab servereid, samal ajal kui füüsiline adapter hoiab omi, ja süsteem võib võtta selle, mis vastab esimesena, nii et otsing võidakse teenindada väljaspool tunnelit ilma, et keegi seda valiks. Nimeresolutsiooni poliitika tabeli reeglid saavad saata valitud domeene valitud serveritele, nii väljendatakse Windowsis tavaliselt split DNS-i. Ja VPN-klient või gateway saab lükata resolveri aadressi, mis eksisteerib ainult privaatvõrgus.

Need kolm mõjutavad üksteist viisil, mis tunduvad brauserist meelevaldsed. Privaatsel aadressil lükatud resolver ilma marsruudita läbi split-tunneli paneb iga otsingu tõrkuma ja seejärel ebaõnnestuma. Poliitikareegel, mis katab sisemise sufiksi ja osutab maas olevale serverile, tekitab sama nähtava vea nagu puuduv marsruut. VPN-adapterilt puuduv otsingusufiks muudab lühikese nime avalikuks päringuks vale domeeni järele. Igaüks neist vajab erinevat parandust.

Miks brauser küsib teist küsimust

nslookup esitab oma päringu serverile, mille ta valib, ega järgi ei nimeruumi poliitikat ega brauseri krüpteeritud DNS-i seadet. Seepärast vastab käsitsi päring avalikule resolverile, samal ajal kui brauser teatab, et sait ei eksisteeri. Te võrdlete kahte programmi, mitte ühe programmi kahte olekut.

Aadressipere eelistus selgitab viivitust, mitte ebaõnnestumist. Brauser, mis küsib esimesena IPv6-kirjeid tunnelis, mis kannab ainult IPv4, ootab ajapiirini enne taganemist. Firefox on just selleks sellist eelistust kandnud ja selle väljalülitamine on diagnostiline samm, mitte parandus.

Lugege resolverite loendit ja reegleid

Windowsis printige, mida süsteem hoiab, enne teoretiseerimist. Get-DnsClientServerAddress näitab servereid liidese kaupa, Get-DnsClientNrptRule loetleb nimeruumi reeglid ja Resolve-DnsName vastab täpsele nimele süsteemi tee kaudu. Võrrelge seda vastust otsese päringuga VPN-i serverile aadressi järgi. Kui Resolve-DnsName ebaõnnestub ja otsene päring õnnestub, on kahtlusalune resolverite loend või nimeruumi reegel.

Kontrollige ka nime ennast. Sisemine lühike nimi võib vajada privaatset sufiksit, mille annab ainult VPN-adapter, samal ajal kui täielikult kvalifitseeritud nimi lahendub hästi. Sertifikaadi hoiatus pärast edukat otsingut kuulub teise probleemi juurde.

Kättesaamatu lükatud resolver

Gateway või klient saab lükata resolveri aadressi ja see aadress peab olema läbi tunneli kättesaadav. Split-tunnelis ei pruugi resolverit sisaldav privaatvahemik olla kaasatud marsruutide hulgas, mis annab otsingu, mis ei saa kunagi vastust. Kinnitage, et marsruut on olemas, ja pärige seejärel just seda aadressi läbi tunneli. See on tõrge brauseri domeenivea taga, samal ajal kui avalik resolver veel vastab.

Kui resolver on kättesaamatu, on parandus marsruut või kaasatud alamvõrk, mitte teine DNS-server.

Krypteeritud DNS möödub kogu teest

DNS-over-HTTPS-iga brauserid lahendavad nimesid ise HTTPS-ühenduse kaudu valitud teenusepakkujaga. Kui see on sees, möödatakse nende otsingute puhul süsteemi resolverist ja split-DNS-i reeglitest täielikult, nii et sisemised nimed ebaõnnestuvad brauseris, samal ajal kui operatsioonisüsteem lahendab need õigesti. Juhtub ka vastupidist: sisemised nimed õnnestuvad brauseris teenusepakkuja kaudu, kes ei oleks neid kunagi tohtinud näha, ja see on poliitika, mitte ühenduvuse probleem.

Otsustage teadlikult, kas krüpteeritud DNS on hallatavatel seadmetel lubatud, ja seadistage see seejärel brauseri haldusliidese kaudu, et valik oleks nähtav. Üksikute eelistuste hooleks jätmine loob pargi, kus sama VPN käitub igas sülearvutis erinevalt.

Tõrkele vastavad parandused

Kui VPN lükkab oma resolveri, pange tunnel vedama liiklust selle juurde ja tehke sama seade nähtavaks adapteritel, mis resolutsioonis osalevad. Kui kohalikud saidid lakkavad ühendatud olles lahendumast, lisage selgesõnalised nimeruumi erandid või tingimuslik edastaja, selle asemel et resolver täielikult välja vahetada. Kui brauseri krüpteeritud DNS möödub poliitikast, on see seade, mida tuleb muuta. Ärge kunagi lisage avalikku resolverit sisemise nime parandamiseks: see lekitab privaatseid päringuid ega lahenda nime.

Seejärel eraldage otsing ühendusest. Nimi, mis lahendub õigele aadressile, kuid keeldub ühendusest, on teenuse, tulemüüri või sertifikaadi probleem ja DNS-i muudatused ei paranda seda.

Kirjutage üles, milline tee vastas, milline ebaõnnestus ja mida te muutsite. Järgmine sama sümptomi raport võtab siis ühe käsu, mitte terve pärastlõuna.