Ինչու է Windows-ը ձեր VPN անուններն ուղարկում DNS սերվեր, որը դուք երբեք չեք կարգավորել

Դուք DNS սերվերը սահմանում եք VPN ադապտորի վրա, նորից միանում, և մասնավոր անունը դեռ գալիս է գրասենյակի լուծիչից, որը ոչ ոք չի կարգավորել այս նոթբուքում։ Արդյունքը թվում է, թե կարգավորումը անտեսվել է, և որոշ առումով այդպես է, քանի որ ադապտորների ցանկը որոշում չէ, այլ թեկնածուների բազմություն։ Windows-ը անունները լուծում է անվանատարածքի քաղաքականությամբ, որը կոնկրետ վերջածանցի համար կարող է նշանակել այլ սերվեր, և այդ քաղաքականությունը կիրառվում է ադապտորի կարգավորումը դիտարկելուց առաջ։ Հաղթած կանոնը գտնելը հինգ րոպեի աշխատանք է, երբ գիտեք, թե որ աղյուսակը կարդալ։

Ինչ փոխեցիք, և ինչն է իրականում որոշում

Ադապտորի DNS հասցեն կլիենտին ասում է, թե ուր այդ ինտերֆեյսը կարող է հարցումներ ուղարկել։ Անունների լուծման քաղաքականության աղյուսակը կլիենտին ասում է, թե տվյալ անվանատարածքի համար ուր պարտադիր է հարցումներ ուղարկել, և այն գնահատվում է անունով, ոչ ադապտորով։ Երբ կանոնը համապատասխանում է ձեր մուտքագրած վերջածանցին, օգտագործվում են կանոնի սերվերները, և ադապտորների ցանկը այլևս նշանակություն չունի այդ որոնման համար։

Այդ պատճառով նույն նոթբուքի երկու անուն կարող են միևնույն պահին գնալ տարբեր ուղիներով։ Կորպորատիվ վերջածանցի տակ գտնվող հոսթը հետևում է իր կանոնին, իսկ հանրային անունը գնում է լռելյայն ուղով, ինչը սովորաբար նշանակում է այն ադապտորը, որն առաջինն է պատասխանում։

Ինչպես է աղյուսակը համապատասխանեցնում անունը

Կանոնները բանալավորված են անվանատարածքով, և հաղթում է ամենաճշգրիտ համապատասխանությունը։ corp.example-ի կանոնը կիրառվում է vpn.corp.example-ի նկատմամբ և չի կիրառվում example.net-ի նկատմամբ։ . անվանատարածքով կանոնը ծածկում է այն ամենը, ինչ մյուս կանոնները չեն ծածկում, ինչը դարձնում է այն ցանկի ամենավտանգավոր գրառումը և այն, որն արժե ստուգել, երբ անկապ կայքը լուծվում է թունելով։

Կանոնը կարող է նաև կրել մեկնաբանություն, գրառումն անջատող քաղաքականություն և անվտանգության կարգավորումներ, որոնք որևէ կապ չունեն DNS հասցեների հետ։ Անջատված կանոնը մնում է տեսանելի կոնֆիգուրացիայում, բայց առանց ազդեցության, ուստի թղթի վրա ճիշտ թվացող գրառումը պրոֆիլի փոփոխությունից հետո կարող է մնալ անգործուն։

Կարդացեք գործող աղյուսակը, ոչ թե ցանկությունների ցանկը

Կարգավորված կանոնները և գործող կանոնները երկու տարբեր հարցեր են։ Get-DnsClientNrptRule թվարկում է, ինչ կա մեքենայի վրա։ Get-DnsClientNrptPolicy -Effective ցույց է տալիս, թե ինչ կկիրառի կլիենտը իրականում, քաղաքականությունից և տեղական կարգավորումներից միացված արժեքներով։

Համեմատեք այդ արտածման վերջածանցը ձեր փորձարկվող անվան հետ՝ տառ առ տառ։ corp.example-ի կանոնը չի բռնում corp.example.com-ով ավարտվող անունը, և վերջում կետի առկայությունը մի տեղում և բացակայությունը մյուսում բավական է համապատասխանությունը փոխելու համար։

Կանոնի բացակայության դեպքում Windows-ը հարցնում է մեկից ավելի ադապտորի

Երբ աղյուսակում ոչինչ չի հավակնում անվանը, կլիենտը կարող է հարցումն ուղարկել մի քանի ինտերֆեյսով և վերցնել առաջին եկած պատասխանը։ Արդյունքը կախված է ժամանակից. նույն անունը երկուշաբթի կարող է լուծվել լարային ադապտորից, իսկ երեքշաբթի՝ թունելից, և ոչ մի ադապտորի կոնֆիգուրացիայում ոչինչ չի բացատրում տարբերությունը։

Ելքը երկու ճանապարհ ունի։ Ավելացրեք կանոն անվանատարածքի համար, որպեսզի որոշումը դադարի մրցավազք լինելուց, կամ անջատեք զուգահեռ վարքը DNS կլիենտի քաղաքականությամբ և ընդունեք ավելի դանդաղ, որոշակի լուծումը։ Առաջինը սովորաբար ավելի հարմար է բաժանված թունելով VPN-ի համար, քանի որ այն փաստագրում է մտադրությունը, այլ ոչ թե ապավինում հերթականությանը։

Ուղիներ, որոնք ամբողջությամբ շրջանցում են լուծիչին

Անվտանգ DNS-ով զննարկիչն ինքն է լուծում և Windows-ին տալիս է միայն հասցեն, ուստի կանոնների աղյուսակը երբեք չի տեսնում անունը։ Սեփական լուծիչ ունեցող միջավայրերի վրա կառուցված կլիենտները կարող են նույն կերպ վարվել։ Երբ անունը լուծվում է մի հավելվածում և ձախողվում մյուսում նույն մեքենայի վրա, համեմատեք լուծման երկու ուղիները նախքան քաղաքականությանը դիպչելը։

Ստուգեք նաև, արդյոք հավելվածը միանում է նախորդ սեսիայի քեշավորված հասցեին։ Clear-DnsClientCache և ապա նույն որոնումը ավելի մաքուր պատասխան է տալիս, քան հնացած արդյունքից ենթադրելը։

Փորձարկեք այն անունով, որը ձախողվել է

Լուծեք հաշվետվության մեջ եղած ճշգրիտ հոսթի անունը, ոչ թե հանրային արագության թեստի դոմեյն, և նշեք, թե որ սերվերն է պատասխանել։ Այնուհետև փոխեք մեկ բան՝ կանոնը, ադապտորների ցանկը կամ քաղաքականության նշանակումը, և վերամիանալուց հետո կրկնեք նույն որոնումը, որպեսզի կիրառված վիճակը վերակառուցվի։

Եթե անունը լուծվում է, և ծառայությունը դեռ մերժում է, դադարեցրեք DNS-ի խմբագրումը։ Հաջորդ օգտակար քայլը հասցեն և դեպի այն տանող երթուղին է, քանի որ անունների լուծումն արդեն արել է իր գործը։