DNS zerbitzari okerra Windows VPNan: metrika, lotura-ordena edo atzizkia
Windows-eko hiru mekanismok DNS resolverra hautatzen dute, eta modu ezberdinean huts egiten dute. Erabaki izen-espazioaren esparruaren, ordena globalaren edo konponketak berriz konektatzean bizirauten duen arabera.
Windows bezero batek tunel erabilgarria izan dezake, enpresako resolverra eraman eta, hala ere, barne-izenak etxeko routerrera bidal ditzake. Hiru mekanismo ezberdinek erabakitzen dute zein zerbitzarik erantzungo duen, eta modu ezberdinean huts egiten dute. Ez duzu hirurak konpondu behar: sintomak esaten dizu zein den jokoan. Beheko erabaki-zuhaitzak minutu pare bat behar ditu eta ohiko emaitza saihesten du, non metrika-aldaketa bat, erregistroaren berrordenatze bat eta NRPT arau bat batera iristen diren eta inork ez dakien zeinek egin duen ezer.
Hiru mekanismok erabakitzen dute, eta normalean bat oker dago
Interfazearen metrikak adapterrak ordenatzen ditu helbide-familia jakin baterako. Tcpip\Linkage azpiko lotura-ordena makinaz gaindiko interfaze-identifikatzaileen zerrenda da, kode-bide zaharrek oraindik kontsultatzen dutena. Izen-ebazpeneko Politika Taulak (NRPT) izen-espazio bat zerbitzari jakin batzuei lotzen die, eta atzizki-zerrendak erabakitzen du izen labur bat zabaltzen den ala ez. Independenteak dira, eta horregatik VPN adapterreko resolver zuzena galdu egiten da beste nonbait dagoen lehentasun zaharkituaren aurrean.
| What you see | Mechanism to check | First command |
|---|---|---|
| Every name is slow, public names sometimes wrong | Global adapter order: metric, then Linkage | Get-NetIPInterface |
| Internal names resolve to a public address | The query left through the home resolver, not the tunnel | Resolve-DnsName intranet.corp.example -Type A, then the same query with -Server 10.20.0.10 |
| Only corp.example names fail, public names fine | Namespace binding: NRPT or suffix | Get-DnsClientNrptRule |
| Short name fails, fully qualified name works | Suffix list on the adapter, with the corporate suffix ahead of other entries, or pushed by the server | Get-DnsClientGlobalSetting |
| Works, then breaks after a reconnect | Runtime setting that was never persisted | Get-VpnConnection for the stored profile, then Get-NetIPInterface again after a reconnect |
Mekanismo horietako bat bera ere ez da tunelaren beste aldea. VPNak bultzatutako zerbitzariak izena ebatzi ezin badu, bezeroaren aldeko edozein ezarpen apaingarria da, beraz lehen erabakia resolverrak berak zuzenean galdetuta erantzun dezakeen ala ez da.
Lehen erabakia: erantzun dezake bultzatutako resolverrak?
Galdetu zerbitzariari espresuki eta alderatu bilaketa arrunt batekin. Erantzunen arteko aldea hautapen-arazoa irisgarritasun-arazotik bereizten du, eta hemen adarkadura azkarrena da:
Resolve-DnsName intranet.corp.example -Server 10.20.0.10 -Type A
Resolve-DnsName intranet.corp.example -Type ALehenengoak asmatu eta bigarrenak huts egiten badu, resolverra irisgarria da eta Windows gaizki ari da hautatzen; joan beheko izen-espazio eta ordena erabakietara. Lehenengoak ere huts egiten badu, ez du ezerk bezeroan lagunduko: egiaztatu UDP eta TCP 53 tunelaren bidez zerbitzarira iristen direla, zerbitzariko host suebakiak ez duela poola botatzen, eta zerbitzariaren beraren birbidaltzaileak osasuntsu daudela.
Gelditu adarkadura honetan. Ezin duzun resolver batera iristeko NRPT arau bat aplikatzeak hutsegite bera sortzen du desegiteko konfigurazio gehiagorekin, eta benetako akatsa agintaritzat dirudien arau baten atzean ezkutatzen du.
Bigarren erabakia: izen-espazio bat edo kontsulta bakoitza?
Esparruak erabakitzen du tresna. Enpresako izenek bakarrik huts egiten dutenean, lotu izen-espazioa makina berrordenatu beharrean: NRPT arau batek atzizki hori tunelaren resolverrera bidaltzen du eta gainerako guztia bakean uzten du. Bilaketa guztiak jotzen dituenean, arazoa adapterren lehentasun globala da, eta metrika da hasteko tokia, ez baitu zerbitzariko ezarpenik aldatzen.
Ezarri metrika helbide-familia bakoitzeko, bi interfazeetan, eta berretsi ordena ondoren:
Get-NetIPInterface | Select-Object ifIndex, InterfaceAlias, AddressFamily, InterfaceMetric
Set-NetIPInterface -InterfaceIndex 11 -InterfaceMetric 1 -AddressFamily IPv4
Set-NetIPInterface -InterfaceIndex 11 -InterfaceMetric 1 -AddressFamily IPv6Ordeztu 11 goiko lerroko tunel adapterraren ifIndexarekin; 11 LAN adapterra bada, komando berak bide okerra jaisten du. LAN adapterra igotzeak ordena berera iristen da beste aldetik: netsh int ip set interface interface="Ethernet" metric=15, eta bigarren familiarentzat netsh int ipv6 set interface interface="Ethernet" metric=15, int ip-ek IPv4 baino ez baitu ukitzen.
Lotura-ordena azken baliabidea da, ez lehen urratsa. HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Linkage-ek gailu-identifikatzaileen Bind zerrenda du, eta tunelaren identifikatzailea aurrera eramateak bai aldatzen du zein adapterri galdetzen zaion lehenengo, baina makinaz gaindiko erregistro-balioa da, izen-espazioko esparrurik gabea. Esportatu ezazu editatu aurretik, eta berriz konektatu tunela ondoren, ordena bezeroak espero duen egoeran aplika dadin.
Izen-espazio bakar baterako, hobetsi tresnarik estuena:
Add-DnsClientNrptRule -Namespace ".corp.example" -NameServers 10.20.0.10
Get-DnsClientNrptRule | Select-Object Namespace, NameServersHirugarren erabakia: bizirauten du konponketak berriz konektatzean?
Telefono-lineako hurrengo konexiora arte funtzionatzen duen metrika bat ez zen inoiz gorde. L2TP/IPsec eta beste konexio-profil batzuk berriz sortzen dira konexioa hastean, beraz gordetako balioa telefono-liburuko sarreraan bizi da IpInterfaceMetric gisa, ez soilik interfaze bizian. Ingurune batzuek eremu hori script bidez jartzen dute horregatik; beste batzuek lehentasuna kudeaketa-politika batetik bultzatzen dute eta muturra bakean uzten dute.
Cachea eta erregistroa aparteko geruza dira. Tunela altxatu ondoren hauek exekutatzeak sarrera zaharkituak konpontzen ditu eta bezeroa berriro erregistratzen du, baina batek ere ez du adapterrik berrordenatzen:
ipconfig /registerdns
ipconfig /flushdnsGeruza berean etengailu bat dago. Adaptadore fisikoan erregistro dinamikoa desgaitzeak bezeroak VPN aldeko helbidea izen okerrarekin iragartzea eragozten du, eta hori goiko freskatzearen konponketa ezberdina da.
IPv6-k bere lerroa merezi du erabakian. Adaptadore fisikoak IPv6 helbide globala badu tunelak IPv4 baino eramaten ez duen bitartean, Windows-ek tunelik gabeko bidea hobets dezake izen-ebazpenerako. Egiaztatu familia hori bereizita, IPv4-rako ezarritako metrikak ez baitu ezer esaten hari buruz:
Get-NetIPInterface -AddressFamily IPv6 | Select-Object ifIndex, InterfaceAlias, InterfaceMetricLAN adapterrean IPv6 desgaitzeak bide hori eta protokoloa kentzen ditu; IPv6 interfazeko metrika-aldaketa batek, edo enpresako izen-espaziorako NRPT arau batek, familia mantentzen du eta lehentasuna konpontzen du. Hautatu estuena, lotura horrek IPv6 izan behar ez duela erabaki ez baduzu.
Egiaztatu iturria izendatuta, eta mantendu jabekide bakarra
Egiaztatu zein iturri dagoen indarrean salatzen duten tresnekin, ez soilik orrialde bat kargatzen den:
ipconfig /all
Get-DnsClientServerAddress -AddressFamily IPv4
Resolve-DnsName fileserver.corp.example -Server 10.20.0.10 -Type AGero bereizi iragazketa hautaketatik, aplikazio baten barrutik berdinak dirudite eta. OpenVPN-eko block-outside-dns aukera beste adapterretan 53 ataka blokeatzen du; ez du resolverrik hautatzen. Orain kontsulta guztiek huts egiten badute, iragazki batek irisgarri den zerbitzari bakarra blokea dezake; konfiguratutako resolverra alde batera uzten bada, ordena edo izen-espazioko araua oker dago. Biak batera aldatzeak blokeatutako kontsulta eta baztertutako kontsulta bereizezin bihurtzen ditu.
Mantendu jabekide bakarra DNS politikan: VPN profila, kudeaketa-politika bat edo NRPT arau bat, ez bi. Itxi aurretik:
- Bultzatutako resolverrak erantzuten du espresuki izendatzean, eta bilaketa arrunt batek hura erabiltzen du.
- Aldatu duzun arauak edo metrikak kontsultak benetan daramatzan helbide-familia hartzen du.
- Ezarpenak deskonexio eta berriz konexio bat bizirauten du, edo gordetako profilera eraman duzu.
- Mekanismo bakar bat da agintaria, eta besteak zeuden bezala utzi ziren.
Hartu ordena ingurumen-egoera gisa, amaitu beharreko gauza gisa baino. Berrikusi berriz konektatu ondoren eta sare-pila ukitzen duen Windows eguneraketa baten ondoren, bietako edozeinek adaptadore fisikoa aurrera itzul baitezakete.