Zašto nslookup radi preko VPN-a, a preglednik ne

nslookup šalje upit poslužitelju koji navedete i ispisuje odgovor, zato može uspjeti dok svaka kartica preglednika ne uspijeva. Preglednik traži od operacijskog sustava da razriješi ime, a sustav odmjerava razrješivače po sučelju, pravila politike razrješavanja imena i mrežni položaj adaptera. Zatim preglednik može dodati vlastiti šifrirani DNS. Tri različita puta, jedan simptom, a tunel obično nije pokvareni dio.

Provjere u nastavku slijede te putove od sustava prema van. Ne uređujte VPN profil dok ne saznate koji je put odgovorio, a koji nije uspio.

Tri politike odlučuju o odgovoru

Svako sučelje nosi vlastiti popis razrješivača i sufikse za pretraživanje. VPN adapter dodaje poslužitelje dok fizički adapter zadržava svoje, a sustav može uzeti onaj koji prvi odgovori, pa se pretraga može poslužiti izvan tunela bez ičijeg izbora. Pravila tablice politike razrješavanja imena mogu slati odabrane domene na odabrane poslužitelje, tako se split DNS obično izražava na Windowsu. A VPN klijent ili gateway može progurati adresu razrješivača koja postoji samo unutar privatne mreže.

Ta tri djeluju na načine koji iz preglednika izgledaju proizvoljno. Proguram razrješivač na privatnoj adresi bez puta kroz split tunel čini da svaka pretraga zastane i zatim ne uspije. Pravilo politike koje pokriva interni sufiks i pokazuje na isključen poslužitelj daje istu vidljivu pogrešku kao nedostajući put. Sufiks za pretraživanje koji nedostaje na VPN adapteru pretvara kratko ime u javni upit za pogrešnu domenu. Svaki od njih traži drugačiji popravak.

Zašto preglednik postavlja drugo pitanje

nslookup izdaje vlastiti upit poslužitelju koji odabere i ne slijedi ni politiku imenskog prostora ni postavku šifriranog DNS-a preglednika. Zato ručni upit javnom razrješivaču odgovara dok preglednik javlja da stranica ne postoji. Uspoređujete dva programa, a ne dva stanja jednog programa.

Prednost obitelji adresa objašnjava kašnjenje, a ne neuspjeh. Preglednik koji prvo traži IPv6 zapise na tunelu koji nosi samo IPv4 čeka istek vremena prije nego što se povuče. Firefox je imao takvu prednost upravo zbog toga, a njezino isključivanje je dijagnostički korak, ne popravak.

Pročitajte popis razrješivača i pravila

Na Windowsu ispišite što sustav drži prije teoretiziranja. Get-DnsClientServerAddress prikazuje poslužitelje po sučelju, Get-DnsClientNrptRule navodi pravila imenskog prostora, a Resolve-DnsName odgovara na točno ime kroz sistemski put. Usporedite taj odgovor s izravnim upitom na VPN-ov poslužitelj po adresi. Kada Resolve-DnsName ne uspije, a izravni upit uspije, sumnjivac je popis razrješivača ili pravilo imenskog prostora.

Provjerite i samo ime. Interno kratko ime može tražiti privatni sufiks koji daje samo VPN adapter, dok se potpuno kvalificirano ime dobro razrješava. Upozorenje o certifikatu nakon uspješne pretrage pripada drugom problemu.

Nedostupni proguram razrješivač

Gateway ili klijent može progurati adresu razrješivača, a ta adresa mora biti dostupna kroz tunel. Na split tunelu privatni raspon koji drži razrješivač možda nije među uključenim putovima, što daje pretragu koja nikada ne dobije odgovor. Potvrdite da put postoji, zatim upitajte tu adresu posebno, kroz tunel. To je neuspjeh iza pogreške domene u pregledniku dok javni razrješivač još odgovara.

Ako je razrješivač nedostupan, popravak je put ili uključena podmreža, a ne drugi DNS poslužitelj.

Šifrirani DNS zaobilazi cijeli put

Preglednici s DNS-over-HTTPS sami razrješavaju imena preko HTTPS veze s odabranim pružateljem. Kad je to uključeno, sistemski razrješivač i pravila split DNS-a posve se zaobilaze za te pretrage, pa interna imena ne uspijevaju u pregledniku dok ih operacijski sustav ispravno razrješava. Događa se i obrnuto: interna imena uspijevaju u pregledniku preko pružatelja koji ih nikada ne bi smio vidjeti, a to je problem politike, ne povezanosti.

Svjesno odlučite je li šifrirani DNS dopušten na upravljanim uređajima, zatim ga konfigurirajte kroz upravljačko sučelje preglednika da izbor bude vidljiv. Prepuštanje pojedinačnoj sklonosti stvara flotu u kojoj se isti VPN ponaša drugačije na svakom prijenosniku.

Popravci koji odgovaraju kvaru

Ako VPN progura svoj razrješivač, učinite da tunel nosi promet do njega i da ista postavka bude vidljiva na adapterima koji sudjeluju u razrješavanju. Ako lokalne stranice prestanu se razrješavati dok ste povezani, dodajte izričite iznimke imenskog prostora ili uvjetni prosljeđivač umjesto potpune zamjene razrješivača. Ako šifrirani DNS preglednika zaobilazi politiku, to je postavka koju treba promijeniti. Nikada ne dodajte javni razrješivač da popravite interno ime: on izlaže privatne upite i ne razrješava ime.

Zatim odvojite pretragu od veze. Ime koje se razrješava na ispravnu adresu ali odbija vezu problem je usluge, vatrozida ili certifikata, a promjene DNS-a ga neće popraviti.

Zabilježite koji je put odgovorio, koji nije uspio i što ste promijenili. Sljedeće izvješće o istom simptomu tada traži jednu naredbu umjesto cijelog poslijepodneva.