Mengapa Windows mengirim nama VPN Anda ke server DNS yang tidak pernah Anda atur

Anda mengatur server DNS pada adaptor VPN, menyambung ulang, dan nama privat tetap datang dari resolver kantor yang tidak dikonfigurasi siapa pun di laptop ini. Hasilnya tampak seperti pengaturan itu diabaikan, dan dalam arti tertentu memang diabaikan, karena daftar adaptor adalah kumpulan kandidat, bukan keputusan. Windows menyelesaikan nama melalui kebijakan ruang nama yang dapat menunjuk server lain untuk sufiks tertentu, dan kebijakan itu diterapkan sebelum pengaturan adaptor ditinjau. Menemukan aturan yang menang adalah pekerjaan lima menit setelah Anda tahu tabel mana yang harus dibaca.

Apa yang Anda ubah, dan apa yang sebenarnya menentukan

Alamat DNS pada adaptor memberi tahu klien ke mana antarmuka itu dapat mengirim kueri. Tabel Kebijakan Resolusi Nama memberi tahu klien ke mana ia harus mengirim kueri untuk ruang nama tertentu, dan tabel itu dievaluasi per nama, bukan per adaptor. Ketika sebuah aturan cocok dengan sufiks yang Anda ketik, server dari aturan itu dipakai dan daftar adaptor tidak lagi penting untuk pencarian tersebut.

Karena itulah dua nama di laptop yang sama dapat menempuh jalur berbeda pada saat yang sama. Host di bawah sufiks korporat mengikuti aturannya; nama publik mengikuti jalur default, yang biasanya berarti adaptor yang menjawab lebih dulu.

Bagaimana tabel mencocokkan nama

Aturan dikunci berdasarkan ruang nama, dan kecocokan paling spesifik yang menang. Aturan untuk corp.example berlaku bagi vpn.corp.example dan tidak berlaku bagi example.net. Aturan dengan ruang nama . mencakup semua yang tidak dicakup aturan lain, sehingga menjadikannya entri paling berbahaya dalam daftar dan yang layak diperiksa ketika situs tak terkait diselesaikan melalui terowongan.

Aturan juga dapat membawa komentar, kebijakan yang menonaktifkan entri, dan pengaturan keamanan yang tidak ada hubungannya dengan alamat DNS. Aturan yang dinonaktifkan tetap terlihat dalam konfigurasi tanpa berefek, sehingga entri yang tampak benar di atas kertas bisa tetap pasif setelah perubahan profil.

Baca tabel yang berlaku, bukan daftar keinginan

Aturan yang dikonfigurasi dan aturan yang berlaku adalah dua pertanyaan berbeda. Get-DnsClientNrptRule mencantumkan apa yang ada di mesin. Get-DnsClientNrptPolicy -Effective menunjukkan apa yang benar-benar akan diterapkan klien, dengan nilai yang digabung dari kebijakan dan pengaturan lokal.

Bandingkan sufiks pada keluaran itu dengan nama yang Anda uji, karakter demi karakter. Aturan untuk corp.example tidak menangkap nama yang berakhir dengan corp.example.com, dan titik di akhir pada satu tempat tetapi tidak di tempat lain cukup untuk mengubah kecocokan.

Tanpa aturan, Windows menanyakan lebih dari satu adaptor

Ketika tidak ada yang mengklaim nama dalam tabel, klien dapat mengirim kueri melalui beberapa antarmuka dan mengambil jawaban pertama yang tiba. Hasilnya bergantung pada waktu: nama yang sama dapat diselesaikan dari adaptor kabel pada hari Senin dan dari terowongan pada hari Selasa, dan tidak ada apa pun dalam konfigurasi kedua adaptor yang menjelaskan perbedaannya.

Ada dua jalan keluar. Tambahkan aturan untuk ruang nama agar keputusan berhenti menjadi perlombaan, atau matikan perilaku paralel melalui kebijakan klien DNS dan terima resolusi yang lebih lambat namun deterministik. Yang pertama biasanya lebih cocok untuk VPN dengan terowongan terpisah, karena mendokumentasikan maksud alih-alih mengandalkan urutan.

Jalur yang melewati resolver sepenuhnya

Peramban dengan DNS aman aktif menyelesaikan sendiri dan hanya menyerahkan alamatnya ke Windows, sehingga tabel aturan tidak pernah melihat nama itu. Klien yang dibangun di atas runtime dengan resolver sendiri dapat berperilaku sama. Ketika sebuah nama berhasil diselesaikan di satu aplikasi dan gagal di aplikasi lain pada mesin yang sama, bandingkan dua jalur resolusi itu sebelum menyentuh kebijakan.

Periksa juga apakah aplikasi menyambung ke alamat yang di-cache dari sesi sebelumnya. Clear-DnsClientCache lalu pencarian yang sama memberi jawaban lebih bersih daripada menyimpulkan dari hasil lama.

Uji dengan nama yang gagal

Selesaikan nama host persis dari laporan, bukan domain uji kecepatan publik, dan catat server mana yang menjawab. Lalu ubah satu hal: aturannya, daftar adaptor, atau penetapan kebijakan, dan ulangi pencarian yang sama setelah menyambung ulang agar status yang diterapkan dibangun kembali.

Jika nama berhasil diselesaikan tetapi layanan tetap menolak, berhenti menyunting DNS. Langkah berguna berikutnya adalah alamat dan rute ke sana, karena resolusi nama sudah menjalankan tugasnya.