Por que Windows envía os nomes da túa VPN a un servidor DNS que nunca configuras

Configuras o servidor DNS no adaptador da VPN, volves conectar e o nome privado segue chegando desde o resolutor da oficina que ninguén configurou neste portátil. O resultado parece indicar que se ignorou a configuración, e en certo sentido así foi, porque a lista de adaptadores é un conxunto de candidatos e non unha decisión. Windows resolve nomes mediante unha política de espazo de nomes que pode designar outro servidor para un sufixo concreto, e esa política aplícase antes de consultar a configuración do adaptador. Atopar a regra que gañou é unha tarefa de cinco minutos cando sabes que táboa ler.

Que cambiaches e que decide en realidade

O enderezo DNS dun adaptador dille ao cliente onde podería enviar consultas esa interface. A táboa de directivas de resolución de nomes dille ao cliente onde debe enviar as consultas para un espazo de nomes dado, e avalíase por nome, non por adaptador. Cando unha regra coincide co sufixo que escribiches, úsanse os servidores da regra e a lista de adaptadores deixa de importar para esa consulta.

Por iso dous nomes no mesmo portátil poden seguir camiños distintos no mesmo momento. Un equipo baixo o sufixo corporativo segue a súa regra; un nome público segue a ruta predeterminada, que normalmente significa o adaptador que responde primeiro.

Como empareja a táboa un nome

As regras indízanse por espazo de nomes e gaña a coincidencia máis específica. Unha regra para corp.example aplícase a vpn.corp.example e non se aplica a example.net. Unha regra co espazo de nomes . cobre todo o que non cobren as demais, o que a converte na entrada máis perigosa da lista e na que paga a pena revisar cando un sitio non relacionado se resolve polo túnel.

Unha regra tamén pode levar un comentario, unha directiva que desactiva a entrada e axustes de seguridade que non teñen nada que ver con enderezos DNS. Unha regra desactivada segue visible na configuración sen efecto ningún, así que unha entrada que sobre o papel parece correcta pode quedar inerte tras un cambio de perfil.

Le a táboa efectiva, non a lista de desexos

As regras configuradas e as regras efectivas son dúas preguntas distintas. Get-DnsClientNrptRule enumera o que existe na máquina. Get-DnsClientNrptPolicy -Effective mostra o que o cliente aplicará de verdade, cos valores fusionados da directiva e da configuración local.

Compara o sufixo desa saída co nome que estás a probar, carácter por carácter. Unha regra para corp.example non captura un nome que remata en corp.example.com, e un punto final nun sitio e non no outro abonda para cambiar a coincidencia.

Sen ningunha regra, Windows pregunta a máis dun adaptador

Cando nada da táboa reclama o nome, o cliente pode enviar a consulta por varias interfaces e quedar coa primeira resposta que chegue. O resultado depende do momento: o mesmo nome pode resolverse desde o adaptador con cable o luns e desde o túnel o martes, e nada na configuración de ningún dos adaptadores explica a diferenza.

Existen dúas saídas. Engade unha regra para o espazo de nomes para que a decisión deixe de ser unha carreira, ou desactiva o comportamento paralelo mediante a directiva de cliente DNS e acepta a resolución máis lenta e determinista. A primeira adoita encaixar mellor nunha VPN con túnel dividido, porque documenta a intención en lugar de depender da orde.

Rutas que se saltan o resolutor por completo

Un navegador con DNS seguro activado resolve pola súa conta e só entrega o enderezo a Windows, así que a táboa de regras nunca ve o nome. Os clientes construídos sobre contornos co seu propio resolutor poden comportarse igual. Cando un nome se resolve nunha aplicación e falla noutra da mesma máquina, compara as dúas rutas de resolución antes de tocar a directiva.

Comproba tamén se a aplicación se conecta a un enderezo na caché dunha sesión anterior. Clear-DnsClientCache e despois a mesma consulta dá unha resposta máis limpa que deducila dun resultado antigo.

Proba co nome que fallou

Resolve o nome de host exacto do informe, non un dominio público de proba de velocidade, e anota que servidor respondeu. Despois cambia unha cousa: a regra, a lista de adaptadores ou a asignación de directiva, e repite a mesma consulta tras reconectar para que se reconstrua o estado aplicado.

Se o nome se resolve e o servizo segue negándose, deixa de editar DNS. O seguinte paso útil é o enderezo e a ruta ata el, porque a resolución de nomes xa fixo o seu traballo.