Windows が VPN の名前を、設定していない DNS サーバーへ送る理由

VPN アダプターに DNS サーバーを設定し、再接続しても、プライベート名はこのノート PC では誰も設定していない社内リゾルバーから返ってきます。この結果は設定が無視されたように見えますが、ある意味ではそのとおりで、アダプターの一覧は決定ではなく候補の集合だからです。Windows は名前空間ポリシーで名前を解決し、そのポリシーは特定のサフィックスに対して別のサーバーを指定でき、そのポリシーはアダプターの設定より先に適用されます。勝った規則を見つけるのは、どの表を読むべきか分かってしまえば五分の作業です。

変更したものと、実際に決めているもの

アダプターの DNS アドレスは、そのインターフェースがクエリをどこへ送れるかをクライアントに伝えます。名前解決ポリシーの表は、特定の名前空間に対してクエリを必ずどこへ送るかをクライアントに伝え、これはアダプター単位ではなく名前単位で評価されます。入力したサフィックスに規則が一致すると、その規則のサーバーが使われ、その問い合わせではアダプターの一覧が意味を持たなくなります。

同じノート PC 上の二つの名前が同じ瞬間に別の経路をたどれるのはこのためです。社内サフィックスの下にあるホストはその規則に従い、公開名は既定の経路、つまり通常は最初に応答したアダプターに従います。

表が名前を照合する仕組み

規則は名前空間をキーにし、最も具体的な一致が優先されます。corp.example の規則は vpn.corp.example に適用され、example.net には適用されません。. という名前空間の規則は他の規則が対象としないすべてを覆うため、一覧の中で最も危険な項目になり、無関係なサイトがトンネル経由で解決されるときに確認する価値のある項目でもあります。

規則にはコメント、その項目を無効にするポリシー、DNS アドレスとは無関係なセキュリティ設定も付けられます。無効化された規則は構成に表示されたまま効果を持たないため、紙の上では正しい項目がプロファイル変更後に効かないままになることがあります。

願望リストではなく有効な表を読む

構成された規則と有効な規則は別の問いです。Get-DnsClientNrptRule はマシン上に何があるかを一覧します。Get-DnsClientNrptPolicy -Effective はポリシーとローカル設定から統合された値で、クライアントが実際に何を適用するかを示します。

その出力のサフィックスを、試験している名前と一文字ずつ比較してください。corp.example の規則は corp.example.com で終わる名前を捕捉せず、末尾のドットが一方にあって他方にないだけで一致が変わります。

規則がなければ Windows は複数のアダプターに問い合わせる

表のどれも名前を主張しない場合、クライアントはクエリを複数のインターフェースから送り、最初に届いた応答を採用できます。結果はタイミング次第で、同じ名前が月曜は有線アダプターから、火曜はトンネルから解決されることがあり、どちらのアダプターの構成にもその違いを説明するものはありません。

出口は二つあります。決定が競争にならないよう名前空間に規則を追加するか、DNS クライアントのポリシーで並行動作を切り、遅くても決定的な解決を受け入れるかです。前者は順序に頼らず意図を文書化するため、通常は分割トンネルの VPN に向いています。

リゾルバーを完全に迂回する経路

セキュア DNS を有効にしたブラウザーは自分で解決し、Windows にはアドレスだけを渡すため、規則の表はその名前を決して見ません。独自のリゾルバーを持つランタイム上に作られたクライアントも同様に振る舞えます。同じマシンで一つのアプリでは解決し別のアプリでは失敗する場合、ポリシーに触れる前に二つの解決経路を比較してください。

アプリが以前のセッションのキャッシュされたアドレスに接続していないかも確認してください。Clear-DnsClientCache を実行してから同じ検索を行うほうが、古い結果から推測するより明確な答えになります。

失敗した名前で試験する

レポートの正確なホスト名を解決し、公開の速度テスト用ドメインではなく、どのサーバーが応答したかを記録します。次に、規則・アダプターの一覧・ポリシーの割り当てのうち一つだけを変え、再接続後に同じ検索を繰り返して適用済みの状態を作り直します。

名前が解決してもサービスが拒否し続けるなら、DNS の編集をやめてください。次の有用な手順は、名前解決がすでに役目を終えているので、アドレスとそこへの経路です。