Miksi nslookup ratkaisee VPN:n kautta mutta selain ei

nslookup lähettää kyselyn nimeämällesi palvelimelle ja tulostaa vastauksen, siksi se voi onnistua, kun jokainen selaimen välilehti epäonnistuu. Selain pyytää käyttöjärjestelmää ratkaisemaan, ja järjestelmä punnitsee liitäntäkohtaisia ratkaisijoita, nimien ratkaisun käytäntösääntöjä ja sovittimen verkkosijaintia. Sitten selain voi lisätä oman salatun DNS:nsä sen päälle. Kolme eri polkua, yksi oire, ja tunneli ei yleensä ole rikkinäinen osa.

Alla olevat tarkistukset seuraavat näitä polkuja järjestelmästä ulospäin. Älä muokkaa VPN-profiilia ennen kuin tiedät, mikä polku vastasi ja mikä epäonnistui.

Kolme käytäntöä ratkaisee vastauksen

Jokaisella liitännällä on oma ratkaisijaluettelonsa ja hakupäätteensä. VPN-sovitin lisää palvelimia, kun taas fyysinen sovitin pitää omansa, ja järjestelmä voi ottaa sen, joka vastaa ensin, joten haku voidaan palvella tunnelin ulkopuolella kenenkään valitsematta sitä. Nimien ratkaisun käytäntötaulukon säännöt voivat lähettää valittuja verkkotunnuksia valituille palvelimille, ja näin split DNS yleensä ilmaistaan Windowsissa. Ja VPN-asiakasohjelma tai yhdyskäytävä voi työntää ratkaisijan osoitteen, joka on olemassa vain yksityisverkossa.

Nämä kolme vaikuttavat toisiinsa tavoilla, jotka näyttävät selaimesta mielivaltaisilta. Yksityiseen osoitteeseen työnnetty ratkaisija ilman reittiä jaetun tunnelin läpi saa jokaisen haun pysähtymään ja sitten epäonnistumaan. Käytäntösääntö, joka kattaa sisäisen päätteen ja osoittaa sammutettuun palvelimeen, tuottaa saman näkyvän virheen kuin puuttuva reitti. VPN-sovittimesta puuttuva hakupääte muuttaa lyhyen nimen julkiseksi kyselyksi väärälle verkkotunnukselle. Jokainen niistä vaatii erilaisen korjauksen.

Miksi selain esittää eri kysymyksen

nslookup lähettää oman kyselynsä valitsemalleen palvelimelle eikä seuraa sen paremmin nimiavaruuskäytäntöä kuin selaimen salatun DNS:n asetustakaan. Siksi manuaalinen kysely julkiselle ratkaisijalle vastaa, kun selain ilmoittaa, ettei sivustoa ole olemassa. Vertaat kahta ohjelmaa, et yhden ohjelman kahta tilaa.

Osoiteperheen suosinta selittää viivettä eikä epäonnistumista. Selain, joka kysyy ensin IPv6-tietueita tunnelissa, joka kuljettaa vain IPv4:ää, odottaa aikakatkaisua ennen kuin perääntyy. Firefoxilla on ollut suosinta juuri tätä varten, ja sen poistaminen käytöstä on diagnoosin askel, ei korjaus.

Lue ratkaisijaluettelo ja säännöt

Windowsissa tulosta se, mitä järjestelmä pitää, ennen kuin teoretisoit. Get-DnsClientServerAddress näyttää palvelimet liitäntäkohtaisesti, Get-DnsClientNrptRule luettelee nimiavaruuden säännöt ja Resolve-DnsName vastaa täsmälliseen nimeen järjestelmän polun kautta. Vertaa tätä vastausta suoraan kyselyyn VPN:n palvelimelle osoitteen perusteella. Kun Resolve-DnsName epäonnistuu ja suora kysely onnistuu, epäilty on ratkaisijaluettelo tai nimiavaruuden sääntö.

Tarkista myös itse nimi. Sisäinen lyhyt nimi voi tarvita yksityisen päätteen, jonka vain VPN-sovitin tarjoaa, kun taas täysin kvalifioitu nimi ratkeaa hyvin. Onnistuneen haun jälkeinen varoitus varmenteesta kuuluu toiseen ongelmaan.

Tavoittamaton työnnetty ratkaisija

Yhdyskäytävä tai asiakasohjelma voi työntää ratkaisijan osoitteen, ja tämän osoitteen on oltava tavoitettavissa tunnelin kautta. Jaetussa tunnelissa ratkaisijan sisältävä yksityinen alue ei ehkä ole mukana sisällytetyissä reiteissä, mikä tuottaa haun, joka ei koskaan saa vastausta. Vahvista, että reitti on olemassa, ja kysy sitten juuri sitä osoitetta tunnelin kautta. Tämä on se epäonnistuminen selaimen verkkotunnusvirheen takana, kun julkinen ratkaisija vielä vastaa.

Jos ratkaisija on tavoittamaton, korjaus on reitti tai sisällytetty aliverkko, ei toinen DNS-palvelin.

Salattu DNS ohittaa koko polun

DNS-over-HTTPS:ää käyttävät selaimet ratkaisevat nimet itse HTTPS-yhteydellä valittuun palveluntarjoajaan. Kun se on päällä, järjestelmän ratkaisija ja split DNS -säännöt ohitetaan kokonaan näiden hakujen osalta, joten sisäiset nimet epäonnistuvat selaimessa, kun käyttöjärjestelmä ratkaisee ne oikein. Myös päinvastoin tapahtuu: sisäiset nimet onnistuvat selaimessa palveluntarjoajan kautta, jonka ei olisi koskaan pitänyt nähdä niitä, ja se on käytäntö- eikä yhteytemongelma.

Päätä tietoisesti, sallitaanko salattu DNS hallituilla laitteilla, ja määritä se sitten selaimen hallintapinnan kautta, jotta valinta on näkyvissä. Yksilöllisten mieltymysten varaan jättäminen tuottaa laivueen, jossa sama VPN käyttäytyy eri tavoin jokaisella kannettavalla.

Epäonnistumiseen sopivat korjaukset

Jos VPN työntää ratkaisijansa, anna tunnelin kuljettaa liikennettä sille ja tee sama asetus näkyväksi ratkaisuun osallistuvilla sovittimilla. Jos paikalliset sivustot lakkaavat ratkeamasta yhteyden aikana, lisää nimenomaiset nimiavaruuden poikkeukset tai ehdollinen edelleenlähettäjä sen sijaan, että vaihtaisit ratkaisijan kokonaan. Jos selaimen salattu DNS ohittaa käytännön, se on asetus, joka pitää muuttaa. Älä koskaan lisää julkista ratkaisijaa sisäisen nimen korjaamiseksi: se vuotaa yksityisiä kyselyitä eikä ratkaise nimeä.

Erottele sitten haku yhteydestä. Nimi, joka ratkeaa oikeaan osoitteeseen mutta kieltäytyy yhteydestä, on palvelun, palomuurin tai varmenteen ongelma, eivätkä DNS-muutokset korjaa sitä.

Kirjaa, mikä polku vastasi, mikä epäonnistui ja mitä muutit. Seuraava saman oireen raportti vie silloin yhden komennon eikä koko iltapäivää.