Hvers vegna DNS hættir að virka eftir að OpenVPN tengist í Windows

Ping á uppflettinguna á skrifstofunni fær enn svar eftir að "OpenVPN" tengist, og samt mistekst hver nafnleit. Vistfangið er aðgengilegt en portið ekki, samsetning sem er skiljanleg þegar maður veit að Windows getur siað DNS eftir millistykki. Með block-outside-dns í prófílnum er sú sía fyrsti grunaði og leiðartöflurnar eru rangur staður til að leita á. Prófin tvö hér fyrir neðan aðskilja lögin á sekúndum.

Aðgengilegt vistfang, dautt port

Árangursríkt ping sannar að hýsillinn sé í gangi og að leið sé til. Það segir ekkert um leyfi til að ná porti 53, því sían sem um ræðir vinnur á öðru lagi og er bundin millistykkinu. Þess vegna getur sama vélin svarað ICMP og hafnað hverri fyrirspurn sem send er á sama vistfang. Keyrðu bæði prófin í sömu setunni áður en þú breytir nokkurri stillingu.

ping <resolver-ip>
nslookup <name> <resolver-ip>

Parið er greiningin. Venjuleg umferð inn á undirnetið heldur áfram meðan nafnuppfletting deyr, og fólk dregur þá ályktun að þjónninn sé bilaður eða að DNS hafi aldrei verið ýtt. Báðar skýringar eru dýrar í eftirför, og sönnunargögnin benda á þrengra svæði. Staðfestu parið áður en þú snertir stillingu.

Valkosturinn er regla í síunarkerfinu

OpenVPN-handbókin lýsir block-outside-dns sem takmörkun í Windows Filtering Platform sem kemur í veg fyrir að forrit nái DNS á millistykkjum utan gönganna. Hún nær yfir TCP og UDP port 53. Þar sem sían býr í WFP en ekki í venjulegum regnlistum eldveggsins breytir leyfisregla annars staðar ekki endilega niðurstöðunni. Þess vegna heldur hið algenga ráð að leyfa DNS áfram að mistakast.

Stillingin getur komið úr innfluttu prófílnum eða frá þjóninum, og skráin sem þú breyttir síðast er "ekki sönnun þess sem biðlarinn hlaði". Lestu virka uppsetningu og tengingarskýrsluna saman. Valkosturinn er líka sérstakur fyrir Windows, og að líta á hann sem flytjanlegan gefur ráð sem gilda ekki.

Leitaðu að biðlarahlutanum sem á takmörkunina í stað þess að bæta við reglum. Eigandinn er hluturinn sem getur raunverulega fjarlægt hana.

Sía er ekki uppfletting

Að loka umferð utan gönganna setur ekki virka uppflettingu inn í þau. Valkosturinn fjarlægir leið og lætur DNS-uppsetningu gönganna eftir þeim sem setti prófílinn upp. Prófíll sem ýtti aldrei uppflettingu hefur enga núna.

Farðu í gegnum þrjár athuganir í röð. Fyrst, hvaða uppflettingu forritið sem mistekst notar í raun. Næst, hvort biðlarinn beitti stillingum VPN DNS. Að lokum, hvaða viðmót ber umferðina til þeirrar uppflettingar.

1. Uppfletting í notkun: berðu saman Resolve-DnsName -Server <resolver-ip> <name> og DNS-þjónana sem ipconfig /all listar.
2. VPN DNS beitt: skoðaðu DNS-færslur göngumillistykkisins í sama úttaki frá ipconfig /all.
3. Viðmót í notkun: Find-NetRoute -RemoteIPAddress <resolver-ip> nefnir útviðmótið fyrir þann áfangastað.

LAN-uppfletting verður óaðgengileg að hönnun undir þessari stefnu, jafnvel meðan önnur LAN-umferð virkar. Það er valkosturinn að vinna sína vinnu. Ef hönnunin þarf VPN DNS skaltu laga skráningu uppflettingarinnar og leið gönganna; ef split DNS með staðbundnum undantekningum er krafist verður eigandi uppsetningarinnar að tjá þær undantekningar á studdan hátt.

Hvað valkosturinn nær ekki yfir

Port 53 er ekki öll nafnuppfletting. DNS over HTTPS og DNS over TLS nota aðra flutningsleið, og sum forrit keyra eigin uppflettingarlógík óháð kerfisstillingum. Vafri getur því leyst nöfn meðan skipanalínan getur það ekki.

Líttu á þann mun sem greiningu en ekki mótsögn. Berðu saman hvort tveggja áður en þú ákveður að uppfletting kerfisins sé biluð.

Haltu niðurstöðunni þröngri þegar þú skrifar hana. Þessi valkostur takmarkar eina flutningsleið á einum vettvangi, og afgangur uppflettingarleiðarinnar er sérstök hönnunarspurning með sinn eiganda.

Athugaðu ástandið fyrir og eftir aftengingu

Keyrðu sömu leit meðan tengingin stendur og aftur eftir að biðlarinn sem á hana aftengist. Fyrra ætti að mistakast fyrir ytri uppflettingu meðan göngin eru uppi, og seinna ætti að takast þegar sían hefur verið fjarlægð. Ef það mistekst enn eftir aftengingu var síunni ekki sópað.

ipconfig /displaydns
nslookup <name> <resolver-ip>

Endurræsing biðlarþjónustunnar eða vélarinnar hreinsar yfirleitt gamla síu. Það staðfestir greininguna án þess að sanna varanlegar lagfæringar. Skrifaðu niður það sem þú sást, því sía sem lifir aftengingu gerir það aftur, og skráningin er það sem réttlætir villuskýrslu.

Aðeins eftir þessar athuganir er skynsamlegt að skipta um uppflettingu eða byggja eldveggsstefnuna upp að nýju. Bæði eru stærri breytingar en sönnunargögnin styðja.