Mengapa DNS Berhenti Bekerja Setelah OpenVPN Terhubung di Windows

Ping ke resolver kantor masih dijawab setelah "OpenVPN" terhubung, namun setiap pencarian nama tetap gagal. Alamatnya dapat dijangkau sementara portnya tidak, kombinasi yang masuk akal begitu Anda tahu Windows dapat memfilter DNS per adaptor. Dengan block-outside-dns di profil, filter itu adalah tersangka pertama dan tabel rute adalah tempat yang salah untuk melihat. Dua pengujian di bawah memisahkan lapisan dalam hitungan detik.

Alamat terjangkau, port mati

Ping yang berhasil membuktikan host hidup dan ada jalur. Itu tidak mengatakan apa pun tentang izin mencapai port 53, karena filter yang dimaksud bekerja di lapisan lain dan bergantung pada adaptor. Karena itulah mesin yang sama dapat menjawab ICMP dan menolak setiap kueri yang dikirim ke alamat yang sama. Jalankan kedua pengujian dalam sesi yang sama sebelum mengubah konfigurasi apa pun.

ping <resolver-ip>
nslookup <name> <resolver-ip>

Pasangan itu adalah diagnosisnya. Lalu lintas biasa ke subnet tetap berjalan sementara resolusi nama mati, dan orang menyimpulkan server rusak atau DNS tidak pernah dikirim. Kedua penjelasan mahal untuk dikejar, dan buktinya menunjuk ke tempat yang lebih sempit. Pastikan pasangan itu sebelum menyentuh pengaturan.

Opsi ini adalah aturan platform pemfilteran

Referensi OpenVPN menggambarkan block-outside-dns sebagai pembatasan Windows Filtering Platform yang menghentikan aplikasi menjangkau DNS pada adaptor di luar terowongan. Opsi ini mencakup TCP dan UDP port 53. Karena filter itu berada di WFP dan bukan di daftar aturan firewall biasa, menambahkan aturan izin di tempat lain tidak selalu mengubah hasilnya. Itulah sebabnya saran umum untuk mengizinkan DNS terus gagal.

Pengaturan dapat datang dari profil yang diimpor atau dari server, dan berkas yang terakhir Anda sunting "bukan bukti apa yang dimuat klien". Baca konfigurasi efektif dan log koneksi bersama-sama. Opsi ini juga khusus Windows, dan memperlakukannya sebagai portabel menghasilkan saran yang tidak berlaku.

Cari komponen klien yang memiliki pembatasan itu alih-alih menambah aturan. Pemiliknya adalah yang benar-benar dapat menghapusnya.

Filter bukan resolver

Memblokir lalu lintas di luar terowongan tidak memasang resolver yang berfungsi di dalamnya. Opsi ini menghapus jalur dan menyerahkan konfigurasi DNS terowongan kepada siapa pun yang menyiapkan profil. Profil yang tidak pernah mengirim resolver kini tidak memilikinya sama sekali.

Lakukan tiga pemeriksaan secara berurutan. Pertama, resolver mana yang benar-benar digunakan aplikasi yang gagal. Kedua, apakah klien menerapkan pengaturan DNS VPN. Ketiga, antarmuka mana yang membawa lalu lintas ke resolver itu.

1. Resolver yang dipakai: bandingkan Resolve-DnsName -Server <resolver-ip> <name> dengan server DNS yang didaftar oleh ipconfig /all.
2. DNS VPN diterapkan: periksa entri DNS adaptor terowongan pada keluaran ipconfig /all yang sama.
3. Antarmuka yang dipakai: Find-NetRoute -RemoteIPAddress <resolver-ip> menyebut antarmuka keluar untuk tujuan itu.

Resolver LAN menjadi tidak terjangkau secara desain di bawah kebijakan ini, bahkan saat lalu lintas LAN lain berjalan. Itu opsi yang menjalankan tugasnya. Jika desain membutuhkan DNS melalui VPN, perbaiki pendaftaran resolver dan jalur terowongan; jika split DNS dengan pengecualian lokal diperlukan, pemilik konfigurasi harus menyatakan pengecualian itu dengan cara yang didukung.

Apa yang tidak dicakup opsi ini

Port 53 bukan seluruh resolusi nama. DNS over HTTPS dan DNS over TLS memakai transpor berbeda, dan sebagian aplikasi menjalankan logika resolver sendiri tanpa memedulikan pengaturan sistem. Karena itu peramban dapat menyelesaikan nama sementara baris perintah tidak.

Perlakukan perbedaan itu sebagai diagnostik, bukan pertentangan. Bandingkan keduanya sebelum memutuskan resolver sistem rusak.

Jaga kesimpulan tetap sempit saat menuliskannya. Opsi ini membatasi satu transpor pada satu platform, dan sisa jalur resolusi adalah pertanyaan desain terpisah dengan pemiliknya sendiri.

Periksa keadaan sebelum dan sesudah terputus

Jalankan pencarian yang sama selama koneksi dan lagi setelah klien pemilik terputus. Yang pertama seharusnya gagal untuk resolver luar saat terowongan hidup, dan yang kedua seharusnya berhasil setelah filter dihapus. Jika masih gagal setelah terputus, filter tidak dibersihkan.

ipconfig /displaydns
nslookup <name> <resolver-ip>

Memulai ulang layanan klien atau mesin biasanya membersihkan filter lama. Itu menegaskan diagnosis tanpa membuktikan perbaikan permanen. Catat apa yang Anda lihat, karena filter yang bertahan melewati pemutusan akan melakukannya lagi, dan catatan itulah yang membenarkan laporan bug.

Hanya setelah pemeriksaan itu masuk akal mengganti resolver atau membangun ulang kebijakan firewall. Keduanya perubahan yang lebih besar daripada yang didukung bukti.