Breytti VPN-ið DNS-inu mínu? Berið saman fyrir og eftir
Prófíll getur fært fyrirspurnirnar þínar viljandi. Berið saman stefnu leysandans og raunverulegt svar fyrir og eftir að VPN tengist, og haldið einni breytu.
Þú tengir göngin, opnar einkarekstur stjórnborð og nafnið leysist í vistfang sem þú hefur aldrei séð. Eða hið gagnstæða gerist: vafrinn heldur áfram að virka á meðan skipanalínutól leysir skyndilega ekkert. Báðar niðurstöður koma frá sömu breytingunni, og fólk útskýrir það venjulega með einni setningu um VPN-ið sem „notar sitt eigið DNS“, sem er ekki nógu nákvæm til að aflúsa eða sannreyna. Tvær spurningar leynast í þeirri setningu: hvaða fyrirspurnir á þessi prófíll að taka yfir, og sendi vél þín þær í raun til leysandans sem henni var úthlutaður? Að halda þeim aðskildum er öll aðferðin, því próf sem blandar þeim saman gefur öruggt rangt svar í báðar áttir.
Hvers vegna prófíll veitir yfirhöfuð leysanda
Inni í göngum leysast nöfn handan fjarlæga endans venjulega í vistföng sem eru aðeins til í því neti. Einkasvæði eins og corp.internal hefur enga opinbera framsendingu, svo leysandinn sem svarar því verður að vera aðgengilegur innan frá göngunum. Sami gangverkur þjónar öðru markmiði: þegar fyrirspurnir myndu annars fara út um þjónustuveituna þína heldur leysandinn hinum megin fyrirspurninni inni í dulkóðuðu slóðinni. Þess vegna kemur vistfang DNS-þjónsins sem hluti af stefnu tengingarinnar en ekki sem alþjóðleg stilling sem þú valdir einu sinni fyrir vélina.
Vistfangið eitt og sér ákveður ekkert. Leysandi getur aðeins svarað ef leið er til hans, og algengasta bilunin er leysandi sem er aðeins aðgengilegur á meðan göngin eru uppi. Þegar göngin falla og stefnan helst gengur fyrirspurnum á vistfang án slóðar, og einkennið er tímamörk en ekki hrein villa. Sá munur skiptir máli þegar þú lest næstu prófniðurstöðu, því tímamörk senda fólk í flutningsstillingar sem voru aldrei viðriðnar.
Berðu saman hönnuðina tvo áður en þú ber saman svör
Full göng og skipt DNS gefa andstæðar væntingar og hvorugt er bilun. Undir fullum göngum getur hver fyrirspurn færst til veitandans eða fyrirtækisleysandans, svo það er viðbúið að opinber nöfn svari öðruvísi eftir tengingu. Undir skiptu DNS fara aðeins skráð lén til einkaleysandans á meðan allt annað helst staðbundið; í Windows býr lénaskráin í Name Resolution Policy Table, í macOS í samsvarandi lénum DNS-stillinganna, og á systemd-resolved vél í leiðarlénum hverrar tengingar.
Þetta er samanburðurinn sem á að gera fyrst, því hann ræður því hvað telst galli. Með skiptu DNS er opinbert nafn sem svarar frá nýjum leysanda það sem er þess virði að rannsaka, á meðan innra nafn sem svarar rétt er kerfið að sinna sínu. Með fullum göngum er frávikið opinbert nafn sem enn svarar frá leysanda þjónustuveitunnar þinnar. Skjöl Microsoft um upplausn VPN-nafna lýsa Windows-röð þessara reglna, þar á meðal hvernig samsvarandi stefnufærsla er skoðuð á undan eigin þjónum millisteksins.
Þriðji leysandinn er í herberginu og auðvelt að gleyma. Öruggt DNS vafrans leysir nöfn sjálft og getur haldið áfram að svara eftir að göngin breyttu stefnu stýrikerfisins, svo síða sem hleðst sannar að leysandi vafrans virkaði, ekki að prófíllinn hafi verið virkjaður. Ef þú berð aðeins saman það sem vafrinn sýnir prófarðu ranga laginu helminginn af tímanum.
Skráðu grunnlínu með aðeins einni breytu
Breyttu göngunum. Breyttu ekki líka nafninu, tólinu eða leitarviðskeytinu í sama skrefi. Veldu nafn sem þú mátt spyja um, skráðu hvaða forrit þú notaðir og skrifaðu annaðhvort vistfangið sem kom til baka eða nákvæmu villuna. Í Windows prenta Get-DnsClientServerAddress -AddressFamily IPv4 þjónana fyrir hvern millistek og Get-DnsClientNrptPolicy stefnufærslurnar; í Linux með systemd-resolved sýnir resolvectl status DNS-þjóna og leiðarlén fyrir hverja tengingu; í macOS prentar scutil --dns þá leysendaröð sem kerfið mun í raun fylgja.
Tengdu svo í gegnum venjulega stýringu biðlarans og endurtaktu nákvæmlega sömu skipanir. Geymdu fyrstu úttakið frekar en minni um það, því samanburðurinn er allt málið og önnur lestur sem tekin er eftir að skyndiminni er tæmt er þegar önnur mæling. Ef grunnlínan var tekin með vafrann að framan og keyrslan eftir tengingu fer fram í skjáhermi, ertu að bera saman tvo leysendur, ekki tvö ástand eins leysanda.
Skýr fyrirspurn og forritaleit eru mismunandi próf
Að spyrja einn tiltekinn þjón, með nslookup name 10.20.0.1 eða dig @10.20.0.1 name, sannar einn hlut: að þjónninn sem þú nefndir svarar þegar hægt er að ná honum. Það fer algjörlega fram hjá valrökfræðinni, svo það getur ekki sagt þér hvort kerfið hefði valið þann þjón fyrir þetta nafn. Notaðu það til að prófa hvort úthlutaði leysandinn sé aðgengilegur, og notaðu það ekki til að prófa stefnu.
Leit í gegnum staðbundna leysandann beitir vali í raun. resolvectl query name gengur í gegnum sömu leiðarlénareglur og greinir frá hvaða samskiptareglum svaraði, Resolve-DnsName í Windows fer í gegnum stefnutöfluna og skyndiminni biðlarans, og scutil --dns sýnir röðina sem leit myndi fylgja. Keyrðu báðar gerðir og hafðu þær í aðskildum dálkum í athugasemdunum þínum. Árangursrík skýr fyrirspurn við hlið misheppnaðrar forritaleitar er leið eða valvandamál, ekki leysandi sem neitar að vinna.
Skyndiminnið stendur milli þín og svarsins. Stýrikerfið, staðbundni stub-leysandinn, vafrinn og neikvætt skyndiminni geyma öll niðurstöður, svo leit getur tekist án þess að ein pakki fari frá vélinni. Skráðu niðurstöðuna áður en þú hreinsar eitthvað: ipconfig /flushdns, resolvectl flush-caches eða sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder í macOS. Slepptu víðtækri netendurstillingu á þessu stigi, því hún eyðileggur sönnunargögnin sem þú ert enn að safna.
Hvað munurinn þýðir
Berðu saman línurnar tvær sem þú skráðir og flokkaðu breytinguna áður en þú snertir eina stillingu.
| Observation after connect | Most likely cause | Next step |
|---|---|---|
| Answer moves to a private address range | Expected under split DNS or a private zone | Confirm the suffix is in the effective policy, then test the service |
| Lookup times out while connected, works after disconnect | The assigned resolver has no route from this machine | Probe it with an explicit query, then re-read the policy |
| Internal name fails, public names work | Wrong namespace or a suffix missing from the policy | Query the fully qualified name and check the domain list per platform |
| Internal name returns a public address | Split DNS not applied; a public resolver answered | Check browser secure DNS first, then the per-link domain list |
Ein lína á skilið áherslu. Nafn sem leysist er ekki þjónusta sem virkar, og árangur DNS segir aðeins að vistfang hafi fundist. Hann segir ekkert um áframsendingu, reglur eldveggsins eða hvort reikningurinn þinn megi yfirhöfuð nota þjónustuna, svo endaðu á að prófa raunverulega forritið í stað þess að gera ráð fyrir að bilunin hafi hopað af sjálfu sér.
Endurheimtu grunnlínuna og sannreyndu hana
Aftengdu í gegnum eigin stýringar biðlarans í stað þess að drepa ferlið, og lestu svo sömu þrjár skipanir aftur. Þjónarnir fyrir hverja tengingu, stefnufærslurnar og svarið fyrir prófnafnið þitt ættu að fara aftur í grunnlínuna sem þú skrifaðir fyrr. Stefnafærsla sem verður eftir eftir hreina aftengingu er raunverulegur galli sem er þess virði að skrá, og þess vegna er handvirk breyting á mynduðu leysandaskrá slæm venja: skráin er endurskrifuð og breytingin hverfur, eða breytingin lifir og festir leysanda sem hefur ekki lengur leið.
Farðu í gegnum þennan lista einu sinni, í röð. Ákveddu hvaða hönnun prófíllinn innleiðir áður en þú dæmir niðurstöðu. Haltu nafni, tóli og viðskeyti föstu í báðum keyrslum. Aðskildu skýru fyrirspurnina frá forritaleitinni. Lestu virku stefnuna, ekki aðeins svarið. Tæmdu skyndiminnin síðast, eftir að samanburðurinn er skrifaður. Sannreyndu með raunverulega forritinu, endurræstu svo einu sinni og staðfestu að aftengda ástandið sé enn hreint.