Miért küldi a Windows a VPN-neveket olyan DNS-kiszolgálóhoz, amelyet soha nem állított be

Beállítja a DNS-kiszolgálót a VPN-adapteren, újracsatlakozik, és a privát név továbbra is az irodai feloldótól jön, amelyet senki nem állított be ezen a laptopon. Az eredmény úgy tűnik, mintha a beállítást figyelmen kívül hagyták volna, és bizonyos értelemben így is történt, mert az adapterlista jelöltek halmaza, nem döntés. A Windows névterekre vonatkozó szabályzattal oldja fel a neveket, amely egy adott utótaghoz más kiszolgálót nevezhet meg, és ezt a szabályzatot az adapter beállításának figyelembevétele előtt alkalmazza. A nyertes szabály megtalálása ötperces munka, ha tudja, melyik táblázatot kell olvasni.

Mit változtatott, és mi dönt valójában

Az adapteren lévő DNS-cím megmondja az ügyfélnek, hogy az a csatoló hová küldhet lekérdezéseket. A névfeloldási házirend-táblázat megmondja az ügyfélnek, hogy egy adott névtérhez hová kell küldenie a lekérdezéseket, és ezt névenként értékeli, nem adapterenként. Ha egy szabály illeszkedik a beírt utótaghoz, a szabály kiszolgálói érvényesülnek, és az adapterlista megszűnik számítani arra a lekérdezésre.

Ezért két név ugyanazon a laptopon ugyanabban a pillanatban eltérő útvonalat követhet. A vállalati utótag alatti gazdagép a saját szabályát követi; a nyilvános név az alapértelmezett útvonalat követi, ami általában azt az adaptert jelenti, amely elsőként válaszol.

Hogyan illeszti a táblázat a nevet

A szabályok névtér szerint kulcsoltak, és a legpontosabb egyezés nyer. A corp.example szabálya a vpn.corp.example-re vonatkozik, a example.net-re nem. A . névtérrel rendelkező szabály mindent lefed, amit a többi szabály nem, ami a lista legveszélyesebb bejegyzésévé teszi, és azzá, amelyet érdemes ellenőrizni, amikor egy független oldal az alagúton keresztül oldódik fel.

Egy szabály hordozhat megjegyzést, a bejegyzést letiltó házirendet és olyan biztonsági beállításokat, amelyeknek semmi közük a DNS-címekhez. A letiltott szabály látható marad a konfigurációban, de nincs hatása, így egy papíron helyesnek tűnő bejegyzés profilmódosítás után is hatástalan maradhat.

A hatályos táblázatot olvassa, ne a kívánságlistát

A beállított szabályok és a hatályos szabályok két különböző kérdés. A Get-DnsClientNrptRule felsorolja, mi létezik a gépen. A Get-DnsClientNrptPolicy -Effective megmutatja, mit fog az ügyfél ténylegesen alkalmazni, a házirendből és a helyi beállításokból összefésült értékekkel.

Hasonlítsa össze a kimenet utótagját a tesztelt névvel, karakterről karakterre. A corp.example szabálya nem fogja meg a corp.example.com-re végződő nevet, és az, hogy az egyik helyen van pont a végén, a másikon nincs, elég az egyezés megváltoztatásához.

Szabály nélkül a Windows több adaptert kérdez meg

Amikor semmi sem tart igényt a névre a táblázatban, az ügyfél több csatolón is kiküldheti a lekérdezést, és az elsőként érkező választ veszi. Az eredmény időzítésfüggő: ugyanaz a név hétfőn a vezetékes adapterről, kedden az alagútból oldódhat fel, és egyik adapter konfigurációja sem magyarázza a különbséget.

Két kiút létezik. Adjon hozzá szabályt a névtérhez, hogy a döntés ne verseny legyen, vagy kapcsolja ki a párhuzamos viselkedést a DNS-ügyfél házirendjével, és fogadja el a lassabb, determinisztikus feloldást. Az első általában jobban illik egy osztott alagutas VPN-hez, mert dokumentálja a szándékot ahelyett, hogy a sorrendre támaszkodna.

Útvonalak, amelyek teljesen megkerülik a feloldót

A biztonságos DNS-t bekapcsoló böngésző maga old fel, és csak a címet adja át a Windowsnak, így a szabálytáblázat soha nem látja a nevet. A saját feloldóval rendelkező futtatókörnyezetekre épített ügyfelek ugyanígy viselkedhetnek. Ha egy név az egyik alkalmazásban feloldódik, a másikban pedig nem ugyanazon a gépen, hasonlítsa össze a két feloldási útvonalat, mielőtt a házirendhez nyúl.

Azt is ellenőrizze, hogy az alkalmazás egy korábbi munkamenet gyorsítótárazott címéhez csatlakozik-e. A Clear-DnsClientCache, majd ugyanaz a keresés tisztább választ ad, mintha egy elavult eredményből következtetne.

A sikertelen névvel teszteljen

A jelentésben szereplő pontos gazdagépnevet oldja fel, ne egy nyilvános sebességteszt-domainet, és jegyezze fel, melyik kiszolgáló válaszolt. Utána változtasson egy dolgot: a szabályt, az adapterlistát vagy a házirend-hozzárendelést, majd újracsatlakozás után ismételje meg ugyanazt a keresést, hogy az alkalmazott állapot újraépüljön.

Ha a név feloldódik, és a szolgáltatás továbbra is elutasít, hagyja abba a DNS szerkesztését. A következő hasznos lépés a cím és az odavezető útvonal, mert a névfeloldás már elvégezte a dolgát.