Miks Windows saadab teie VPN-nimed DNS-serverile, mida te kunagi ei seadistanud

Seadistate DNS-serveri VPN-adapterile, loote ühenduse uuesti ja privaatnimi tuleb ikka kontori resolverist, mida keegi sellel sülearvutil ei seadistanud. Tulemus näeb välja nii, nagu oleks seadet eiratud, ja teatud mõttes eiratigi, sest adapterite loend on kandidaatide kogum, mitte otsus. Windows lahendab nimesid nimeruumi poliitika kaudu, mis võib konkreetsele sufiksile määrata teise serveri, ja seda poliitikat rakendatakse enne, kui adapteri seadet üldse vaadatakse. Võitnud reegli leidmine on viie minuti töö, kui tead, millist tabelit lugeda.

Mida te muutsite ja mis tegelikult otsustab

Adapteri DNS-aadress ütleb kliendile, kuhu see liides võiks päringuid saata. Nime lahendamise poliitika tabel ütleb kliendile, kuhu ta peab antud nimeruumi jaoks päringuid saatma, ja seda hinnatakse nime, mitte adapteri kaupa. Kui reegel sobib sufiksiga, mille sisestasite, kasutatakse reegli servereid ja adapterite loend lakkab selle päringu jaoks tähtsust omamast.

Seetõttu võivad kaks nime samal sülearvutil samal hetkel minna eri teid. Ettevõtte sufiksi all olev host järgib oma reeglit; avalik nimi järgib vaiketeed, mis tavaliselt tähendab seda adapterit, mis vastab esimesena.

Kuidas tabel nime sobitab

Reeglid on võtmetatud nimeruumi järgi ja võidab kõige täpsem sobivus. Reegel corp.example jaoks kehtib vpn.corp.example kohta ja ei kehti example.net kohta. Reegel nimeruumiga . katab kõik, mida teised reeglid ei kata, mistõttu on see loendi kõige ohtlikum kirje ja see, mida tasub kontrollida, kui seosetu sait laheneb tunnelist.

Reegel võib kanda ka kommentaari, kirje keelava poliitika ja turbeseadeid, millel pole DNS-aadressidega midagi pistmist. Keelatud reegel jääb konfiguratsioonis nähtavaks, kuid ei mõjuta midagi, nii et paberil õige kirje võib pärast profiili muutmist olla endiselt tegevusetu.

Lugege kehtivat tabelit, mitte sooviloendit

Konfigureeritud reeglid ja kehtivad reeglid on kaks eri küsimust. Get-DnsClientNrptRule loetleb, mis masinas olemas on. Get-DnsClientNrptPolicy -Effective näitab, mida klient tegelikult rakendab, väärtustega, mis on poliitikast ja kohalikest seadetest kokku pandud.

Võrrelge selles väljundis olevat sufiksit nimega, mida testite, täht-tähelt. Reegel corp.example jaoks ei haara nime, mis lõpeb corp.example.com-ga, ja punkt lõpus ühes kohas ning selle puudumine teises on piisav, et sobivus muutuks.

Reegli puudumisel küsib Windows rohkem kui üht adapterit

Kui miski tabelis nime ei nõua, võib klient saata päringu mitme liidese kaudu ja võtta esimese saabuva vastuse. Tulemus sõltub ajastusest: sama nimi võib esmaspäeval laheneda juhtmega adapterist ja teisipäeval tunnelist ning mitte miski kummagi adapteri konfiguratsioonis ei seleta erinevust.

Väljapääsu on kaks. Lisage nimeruumile reegel, et otsus lakkaks olemast võidujooks, või lülitage paralleelne käitumine DNS-kliendi poliitikaga välja ja leppige aeglasema, deterministliku lahendamisega. Esimene sobib tavaliselt jagatud tunneliga VPN-ile paremini, sest dokumenteerib kavatsuse, selle asemel et loota järjekorrale.

Teed, mis jätavad resolveri täielikult vahele

Turvalise DNS-iga brauser lahendab ise ja annab Windowsile ainult aadressi, nii et reeglitabel ei näe nime kunagi. Oma resolveriga keskkondadele ehitatud kliendid võivad käituda samamoodi. Kui nimi laheneb ühes rakenduses ja ebaõnnestub teises samas masinas, võrrelge kahte lahendamisteed enne poliitika puudutamist.

Kontrollige ka, kas rakendus ühendub varasemast seansist pärit vahemällu salvestatud aadressiga. Clear-DnsClientCache ja seejärel sama otsing annab puhtama vastuse kui vanast tulemusest järeldamine.

Testige nimega, mis ebaõnnestus

Lahendage aruandes olev täpne hostinimi, mitte avalik kiirustesti domeen, ja kirjutage üles, milline server vastas. Seejärel muutke ühte asja: reeglit, adapterite loendit või poliitika määramist, ja korrake sama otsingut pärast uuesti ühendamist, et rakendatud olek taastataks.

Kui nimi laheneb ja teenus keeldub endiselt, lõpetage DNS-i muutmine. Järgmine kasulik samm on aadress ja tee sinna, sest nimede lahendamine on oma töö juba ära teinud.