Kuka oikeastaan soveltaa OpenConnectin DNS-asetukset Windowsissa?
Windows pitää resolverin tilaa kolmessa paikassa. Etsi apuri, joka omistaa yhteyden, ennen kuin muokkaat sovittimen DNS:ää käsin tai lisäät nimiavaruussäännön.
Tunnelin nostaminen ei ole sama asia kuin sen DNS-arvojen asentaminen. OpenConnect neuvottelee, ja Windowsin puolella apuri soveltaa. Näiden kahden vaiheen välinen kuilu selittää useimmat yksityisten nimien epäonnistumiset tässä asiakkaassa, eikä apuri ole lähes koskaan Windowsin VPN-asetussivu.
Erota se, mitä yhdyskäytävä tarjosi, siitä, mitä Windows asensi
Asiakas välittää yhteystiedot skriptirajapinnalle, ja Unix- ja Windows-versiot ovat erillisiä ohjelmia. Windowsissa toteutus on yleensä JavaScript-apuri, joka lukee muuttujia kuten sisäinen DNS-palvelin ja sisäinen toimialue ennen kuin se koskee mihinkään sovittimeen. Mikään itse tunnelissa ei kirjoita resolverin tilaa.
Tällä jaolla on merkitystä, koska arvo voi olla neuvottelussa eikä koskaan saavuttaa sovitinta. Apuri, joka puuttuu, epäonnistuu puolivälissä tai on GUI-kuoreen pakattu vanhempi kopio, jättää Windowsin täsmälleen sellaiseksi kuin se oli. Istunto näyttää yhdistetyltä, yksityinen nimi ratkeaa edelleen paikallisen tarjoajan kautta, eikä mikään asiakkaan ikkunassa vihjaa erosta. Apurin oman tulosteen lukeminen on ainoa luotettava tapa tietää, mikä vaihe katkesi.
| Stage | What exists there | Where you see it |
|---|---|---|
| Negotiated | Internal DNS address and domain pushed by the gateway | Client log or helper input |
| Installed | Adapter DNS entry, connection suffix, or namespace rule | Adapter and policy queries |
| Selected | Resolver Windows uses for one specific query | The failing application |
GUI-kuori voi toimittaa oman kopionsa asiakkaasta ja apurista, joten toinen openconnect.exe jossain muualla levyllä ei todista mitään. Etsi suoritettava tiedosto, joka käynnisti istunnon, ennen kuin arvioit sen kokoonpanoa.
Lue resolverin tila muuttamatta sitä
Kolme vain luku -kyselyä kattavat tavallisen sekaannuksen, ja kukin vastaa eri kysymykseen:
Get-DnsClientServerAddress -AddressFamily IPv4
Get-DnsClient | Select-Object InterfaceAlias, ConnectionSpecificSuffix
Get-DnsClientNrptPolicy -EffectiveSovittimen tason palvelin on se, mitä useimmat tarkoittavat VPN-DNS:llä. Yhteyskohtainen liite päättää, laajennetaanko lyhyt nimi lainkaan. Nimiavaruuskäytäntöluettelo koskee täsmääviä nimiä sovittimien järjestyksestä riippumatta, eikä tyhjä tulos siellä ole vika, kun apuri ei koskaan aikonut luoda sellaista. Kaikkien kolmen lukeminen ennen muokkausta estää korjauksen, joka vain siirtää oireen muualle.
Aloita täysin kelpuutetusta nimestä. Jos FQDN ratkeaa eikä lyhyt nimi, puute on liitteessä tai hakuluettelossa, ei palvelimen osoitteessa.
Kysy aiottua palvelinta suoraan toisena vaiheena millä tahansa jo asennetulla resolverityökalulla. Suora vastaus todistaa, että palvelin on tavoitettavissa ja toimivaltainen vyöhykkeelle. Se ei todista mitään siitä, miltä palvelimelta sovellus kysyy oletuksena.
Nimeä komponentti, joka omistaa yhteyden
Kaksi järjestelyä on tavallinen. Päätteestä käynnistetty asiakas välittää skriptipolkunsa eksplisiittisesti, joten omistaja näkyy suoritetussa komennossa. Paketoitu sovellus käynnistää asiakkaan puolestasi ja pitää apurin omassa hakemistossaan, mikä tarkoittaa, että toimittaja päättää, milloin se muuttuu.
Vertaa apurin versioita asennusten välillä ennen kuin vaihdat mitään. Apurin ajaminen peilistä haettuna korotetuilla oikeuksilla siksi, että tiedostonimi näyttää tutulta, muuttaa DNS-puutteen tietoturvahäiriöksi.
Kun omistaja tiedetään, korjauskohde tulee ilmeiseksi: tuettu skriptipolku käynnistimessä, paketin päivitys tai korjattu profiili yhdyskäytävässä. Mikään niistä ei vaadi sovittimen ominaisuuksien muokkaamista käsin.
Korjaa omistaja, älä sovitinta
Käsin asetettu sovittimen DNS selviää usein yhteyden katkeamisesta, minkä vuoksi se näyttää toimivan ja aiheuttaa sitten ongelmia seuraavassa verkossa. Jokaiseen liitäntään kiinnitetty julkinen resolver kätkee yksityisen nimiavaruuden ongelman ratkaisemisen sijaan. Kun apuri ei koskaan saanut DNS-arvoa, yhdyskäytävän profiili on paikka, jota katsoa. Kun se sai sellaisen ja sovitin näyttää yhä vanhaa palvelinta, apuri epäonnistui yhdistämisen aikana ja asiakasloki kirjaa sen yleensä tunnelin asetusrivien lähelle.
Rakenna tila uudelleen tuettua polkua pitkin ja tarkista sitten koko sykli: yhdistä, ratkaise yksityinen FQDN, avaa palvelu, katkaise yhteys ja varmista, että sovitin palasi aiempine palvelimineen.
Tarkista sovellus, joka tosiasiassa epäonnistuu
Selain, jolla on oma salatun DNS:n asetus, jättää kaiken yllä olevan huomiotta ja vastaa edelleen julkisesta resolverista. Sovellus, joka pitää välimuistiin tallennettua kielteistä vastausta ennen tunnelin nousua, käyttäytyy samoin. Vertaa sitä tavalliseen järjestelmäkyselyyn samalla koneella ennen kuin muutat resolveriosoitteita uudelleen.
Jos järjestelmäkysely on oikein ja sovellus väärin, jäljellä oleva vika on kyseisen sovelluksen DNS-kokoonpanossa, ei VPN-polkussa.