Ezarri DNS Windows VPN egokitzailean PowerShell erabiliz, eta egiaztatu

Windows VPN konexioak ez ditu DNS zerbitzariak Gipsetan editatzen duzun profilean gordetzen. Tunela altxatzen denean, bezeroak IP konfigurazioa negoziatzen du atebidearekin, atebideak resolver zerrenda bat bidaltzen du, eta Windows-ek tunel egokitzaileari aplikatzen dio. Egokitzaile hori zure Wi-Fi edo Ethernetetik bereizitako interfazea da, eta zerrenda interfazeari dagokio, ez profilari. Balioa zein objektuk duen jakinda, PowerShell-en gainidaztea komando bakarra da; gainidazteak berriz konektatzea iraun dezan egitea erabakia behar duen zatia da.

Zein objektuk du helbidea

RAS-ek tunel egokitzailea sortzen du konexioa lortzen denean, eta kentzen du konexioa erortzean. ipconfig /all ikusten dituzun DNS zerbitzariak konfigurazio truke horretan iristen dira, IPv4 eta IPv6 helbideekin eta ibilbideekin batera. Balioa interfazeari lotuta dagoenez, Set-DnsClientServerAddress konexioa existitzen den bitartean soilik existitzen den zerbaitetan idazten du.

Gertaera bakar horrek VPN DNSaren inguruko nahasmenaren zatirik handiena azaltzen du. Profila deskonektatuta azter daiteke, baina ez dago seinalatzeko interfazerik, beraz VPN aliasaren aurka komandoa deitzen duen saioa hasteko scripta huts egiten du inor konektatu aurretik. Atzera egiten duela dirudien aldaketa bat ere azaltzen du: ezerk ez zuen atzera egin, interfazea suntsitu eta atebideak bidalitako balioekin berreraiki zen.

Aurkitu aliasa DNS ukitu aurretik

Profilaren izena eta interfazearen aliasa normalean kate bera dira, baina ez dira objektu bera. Get-VpnConnection profileak zerrendatzen ditu; Get-NetAdapter Windows-ek benetan dituen interfazeak zerrendatzen ditu. DNS komandoek bigarrena nahi dute, eta biak uste baino gehiagotan desberdintzen dira, batez ere bezeroak "(RAS)" bezalako deskribatzaile bat gehitzen dionean egokitzailearen izenari.

Profila existitzen ez bada, PowerShell-ek bertako sarrera bat sortu dezake. Tunel motak eta autentifikazioak atebideak eskaintzen duenarekin bat etorri behar dute, desadostasuna konektatzean agertzen baita, ez sortzean:

Add-VpnConnection -Name "Corporate" -ServerAddress vpn.example.net `
  -TunnelType Ikev2 -EncryptionLevel Required `
  -AuthenticationMethod Eap -AllUserConnection

Konektatu behin, gero irakurri benetako aliasa DNS komandorik idatzi aurretik:

rasdial.exe "Corporate"
Get-NetAdapter | Where-Object InterfaceDescription -like "*VPN*"
Get-DnsClientServerAddress -InterfaceAlias "Corporate"

Aplikatu gainidaztea orden egokian

Ordena sintaxia baino garrantzitsuagoa da. Egokitzailea altxatuta egon behar da, aliasa ebatziko da, eta kontuak interfazearen ezarpenak aldatzeko baimena izan behar du. Erabiltzaile bakarreko konexioak normalean saioa hasitako erabiltzailearen aldaketa onartzen du; -AllUserConnection ekin sortutako erabiltzaile guztientzako konexioak shell goratu bat behar du normalean.

Komandoa bera lerro bakarra da, Microsoft-en Set-DnsClientServerAddress erreferentzian dokumentatuta:

Set-DnsClientServerAddress -InterfaceAlias "Corporate" -ServerAddresses 10.20.0.53,10.20.0.54
Get-DnsClientServerAddress -InterfaceAlias "Corporate" -AddressFamily IPv4

Huts egiteko bi modu begi bistaz ezagutzekoak dira. Alias okerrak komandotik errore bat sortzen du, eta hori emaitza ona da, isiltasuna okerragoa litzatekeelako. Efektu ikusgarririk gabeko komando zuzenak egokitzaile okerra ikusten ari zarela esan ohi du: beste bezero batetik geratutako tunel egokitzailea, antzeko deskribapena duen NIC fisiko bat edo sandbox sare tresna batek sortutako bigarren egokitzaile birtuala.

Zergatik ken dezakeen berriz konektatzeak aldaketa

Gainidaztea interfaze instantzia bati dagokio. Bezeroak egokitzailea eraisten duenean eta hurrengo konexioan berreraikitzen duenean, bidalitako balioak berriro aplikatzen dira eta zure zerrenda desagertu egiten da. Bezero batzuek interfazea konexio bakoitzean sortzen dute; beste batzuek saio osoan zehar erabiltzen dute. Konparatu interfazearen indizea Get-NetAdapter -en bi konexioren artean eta jakin izango duzu zein jokabide duzun.

Hiru erantzun iraunkor daude, eta horiek pilatzeak bere akatsak sortzen ditu. Konexioari dagokion DNS atzizkia gehi NRPT arau bat barne-namespacea barne resolverrera soilik bidaltzen du eta izen publikoak bakean uzten ditu. VPN konexioari aplikatutako Group Policy edo MDM ezarpen bat DNS ezartzen du konektatzean scriptik gabe. Konexio-gertaerari erantzuten dion eta komandoa berriro exekutatzen duen programatutako zeregin bat aukera zakarra da, baina funtzionatzen du eta log bat uzten du. Aukeratu DNSrako jabe bakarra eta idatzi zein den.

Etiketa bakarreko barne-izenek atzizki bilaketa zerrenda bat ere behar dute. Set-DnsClientGlobalSetting -SuffixSearchList makinaz osokoa da, beraz makinako egokitzaile bakoitzaren ebazpena aldatzen du, Ethernet barne. Probatu laborategiko makina batean irudi batera sartu aurretik.

Egiaztatu ebazpena, ez ezarpena soilik

Egokitzaile batean zerrendatutako resolver batek balio bat idatzi dela frogatzen du soilik. Galdetu helburuko zerbitzariari zuzenean, gero galdetu bide arruntetik:

Resolve-DnsName server01.corp.example -Server 10.20.0.53
Resolve-DnsName server01.corp.example

Banaketak akatsa non dagoen esaten dizu. Kontsulta zuzenak erantzuten du eta kontsulta soilak huts egiten du: egokitzailearen ezarpena edo atzizki zerrenda ez da indarrean. Biek huts egiten dute: resolverra ez da tunelaren bidez iristeko modukoa, beraz begiratu ibilbideak eta suebaki arauak DNS berriro ukitu aurretik. Kontsulta zuzenak huts egiten du kontsulta soilak beste nonbaitetik erantzuten duen bitartean: split DNS gaizki konfiguratuta dago eta barne-izen bati resolver publiko batek erantzuten dio, eta hori politika arazoa da konektibitate arazoa izan aurretik.

Exekutatu proba birritan, behin konektatu ondoren eta behin deskonektatu eta berriz konektatu ondoren, eta konparatu Get-DnsClientServerAddress bi exekuzioen irteera. Bidalitako balioa bigarren konexioan itzultzen bada, gainidazteak egokitzailearekin bizi eta hil zen, eta aurreko ataleko NRPT edo politika ibilbideak soilik eutsiko dio. Gorde bi transkripzioak eta konexioaren denbora-markak; erantzuten dute ea mantentzen den beste edizio erronda bat baino azkarrago.