Zašto Windows šalje vaša VPN imena na DNS poslužitelj koji nikada niste postavili

Postavite DNS poslužitelj na VPN adapteru, ponovno se povežete, a privatno ime i dalje dolazi s uredskog razrješivača koji nitko nije konfigurirao na ovom prijenosniku. Rezultat izgleda kao da je postavka zanemarena, i u izvjesnom smislu jest, jer je popis adaptera skup kandidata, a ne odluka. Windows razrješava imena kroz pravilo imenskog prostora koje za određeni sufiks može odrediti drugi poslužitelj, a to se pravilo primjenjuje prije nego što se postavka adaptera uzme u obzir. Pronalaženje pravila koje je pobijedilo posao je od pet minuta kad znate koju tablicu čitati.

Što ste promijenili i što zapravo odlučuje

DNS adresa na adapteru govori klijentu kamo bi to sučelje moglo slati upite. Tablica pravila razrješavanja imena govori klijentu kamo mora slati upite za zadani imenski prostor, i procjenjuje se po imenu, a ne po adapteru. Kad pravilo odgovara sufiksu koji ste upisali, koriste se poslužitelji tog pravila i popis adaptera prestaje biti važan za to pretraživanje.

Zato dva imena na istom prijenosniku mogu istoga trenutka ići različitim putovima. Host pod korporativnim sufiksom slijedi svoje pravilo; javno ime slijedi zadani put, što obično znači onaj adapter koji prvi odgovori.

Kako tablica uparuje ime

Pravila su indeksirana po imenskom prostoru i pobjeđuje najkonkretnije podudaranje. Pravilo za corp.example primjenjuje se na vpn.corp.example i ne primjenjuje se na example.net. Pravilo s imenskim prostorom . pokriva sve što druga pravila ne pokrivaju, što ga čini najopasnijim unosom na popisu i onim koji vrijedi provjeriti kad se nepovezana stranica razrješava kroz tunel.

Pravilo može nositi i komentar, pravilo koje onemogućuje unos, i sigurnosne postavke koje nemaju veze s DNS adresama. Onemogućeno pravilo ostaje vidljivo u konfiguraciji, ali bez učinka, pa unos koji na papiru izgleda ispravno može ostati beživotan nakon promjene profila.

Čitajte djelotvornu tablicu, a ne popis želja

Konfigurirana pravila i djelotvorna pravila dva su različita pitanja. Get-DnsClientNrptRule navodi što postoji na stroju. Get-DnsClientNrptPolicy -Effective pokazuje što će klijent stvarno primijeniti, s vrijednostima spojenim iz pravila i lokalnih postavki.

Usporedite sufiks u tom izlazu s imenom koje testirate, znak po znak. Pravilo za corp.example ne hvata ime koje završava na corp.example.com, a točka na kraju na jednom mjestu i njezina odsutnost na drugom dovoljne su da promijene podudaranje.

Bez pravila Windows pita više od jednog adaptera

Kad ništa u tablici ne polaže pravo na ime, klijent može poslati upit kroz nekoliko sučelja i uzeti prvi odgovor koji stigne. Rezultat ovisi o vremenu: isto se ime može razriješiti sa žičanog adaptera u ponedjeljak i iz tunela u utorak, a ništa u konfiguraciji nijednog adaptera ne objašnjava razliku.

Dva izlaza postoje. Dodajte pravilo za imenski prostor da odluka prestane biti utrka, ili isključite paralelno ponašanje kroz pravilo DNS klijenta i prihvatite sporije, determinističko razrješavanje. Prvo obično bolje odgovara VPN-u s razdvojenim tunelom, jer dokumentira namjeru umjesto da se oslanja na redoslijed.

Putovi koji potpuno zaobilaze razrješivač

Preglednik s uključenim sigurnim DNS-om razrješava sam i daje Windowsu samo adresu, pa tablica pravila nikada ne vidi ime. Klijenti izgrađeni na okruženjima s vlastitim razrješivačem mogu se ponašati isto. Kad se ime razriješi u jednoj aplikaciji, a ne uspije u drugoj na istom stroju, usporedite dva puta razrješavanja prije nego dirnete pravilo.

Provjerite i povezuje li se aplikacija na predmemoriranu adresu iz ranije sesije. Clear-DnsClientCache i zatim isto pretraživanje daje čišći odgovor od zaključivanja iz zastarjelog rezultata.

Testirajte s imenom koje nije uspjelo

Razriješite točno ime hosta iz izvješća, a ne javnu domenu za test brzine, i zabilježite koji je poslužitelj odgovorio. Zatim promijenite jednu stvar: pravilo, popis adaptera ili dodjelu pravila, i ponovite isto pretraživanje nakon ponovnog povezivanja da se primijenjeno stanje ponovno izgradi.

Ako se ime razriješi, a usluga i dalje odbija, prestanite uređivati DNS. Sljedeći je koristan korak adresa i put do nje, jer je razrješavanje imena već obavilo svoj posao.