Сплит-туннеліңіз қосымшаға жетеді, бірақ оның DNS серверіне жетпейді
Сплит-туннель қосымшаның ішкі желісін бағыттап, бірақ қасындағы шешушіні тастап кетуі мүмкін. Хост маршрутын қосыңыз, содан кейін Windows қай серверді таңдайтынын тексеріңіз.
Қосымшаның ішкі желісін бағыттау — сплит-туннельдің айқын бөлігі, және бұл бүкіл жұмыс емес. Шешуші көбіне өзі қызмет көрсететін қосымшадан басқа мекенжайда отырады, сондықтан жұмыс істеп тұрған туннель іздеуді оның сыртында қалдыруы мүмкін. 10.80.0.0/16 ғана алып жүретін профиль 10.90.0.53 үшін сұранысты жергілікті интерфейс арқылы жібереді, онда жеке аймақ жоқ. Шешушінің жолын қосыңыз, содан кейін мәселенің екінші жартысына көз жүгіртіңіз: клиент іс жүзінде қай серверді таңдайды.
Аңыз: бір маршрут бүкіл қызметті қамтиды
Сплит-туннель — қосылым арқылы өтетін мақсаттардың тізімі, қызметтің сипаттамасы емес. Қосымшаның ішкі желісі мен шешушінің мекенжайы — екі мақсат, және профиль біреуін екіншісінсіз алып жүре алады. Бұл орын алғанда, қосымшаға мекенжай бойынша қол жеткізуге болады, ал оның атауы шешілмейді, бұл бағыттау олқылығынан гөрі DNS ақауына ұқсайды.
Шешушінің айналасындағы ішкі желі де автоматты түрде қамтылмайды. Бір мекенжайға хост маршруты сол шешуші үшін жеткілікті және оның көршілерін ашпайды. Хост маршрутының мәні осында: жобасы бойынша тар, және келесі қызмет сол ішкі желіде пайда болғанда ұмытылуы оңай.
Іздеу жұмыс істеуі үшін үш нәрсе дұрыс болуы керек: клиент шешушінің мекенжайын туннель арқылы бағыттайды, шлюз бұл сұранысты қабылдап жібереді, ал шешуші өзі алатын көзді қабылдайды. Жауап та келісілген жолмен қайтуы керек. Олардың біреуі болмаса, симптом бірдей, сондықтан конфигурацияға қол тигізбес бұрын мекенжайлар кестесін жазып алудың мәні бар.
Профиль қандай мекенжайларды алып жүруі керектігін анықтаңыз
Мақсаттарды ретімен тізіңіз: қосымша желісі, шешушінің мекенжайы және туннельдің өзін аяқтайтын жария шеткі нүкте. Үшіншісін ешқашан туннель ішіне бағыттауға болмайды, өйткені сыртқы қосылымға туннельге дейін бар жол қажет.
| Destination | Coverage this example needs |
|---|---|
| Application network | 10.80.0.0/16 through the VPN |
| Private resolver | 10.90.0.53/32 through the VPN |
| Public VPN endpoint | Normal internet path, outside the tunnel |
DNS үшін UDP пен TCP екеуін де қосыңыз, өйткені іске асырулардан UDP-мен қатар TCP қолдауы күтіледі, ал бөгелген TCP жолы таза емес, баяу және ішінара ақаулар береді. Жеке аймақ IPv6 арқылы да қызмет көрсетілсе, баламалы хост ерекшелігі IPv6 мекенжайы мен префиксін қолданады және жеке жазба болып табылады.
Бірдеңе қоспас бұрын профильдің нені қамтитынын жазып қойыңыз. Қайталанған маршрут зиянсыз, бірақ күтпеген бар маршрут профиль сізге берілгеннен өзге мекенжай жоспарына арналғанын айтады.
Хост маршрутын қосылым иесі арқылы қосыңыз
Жергілікті басқарылатын түпнұсқа Windows профилі үшін маршрут машинаның ғаламдық маршруттау кестесіне емес, қосылымға тиесілі. Алдымен қосуды алдын ала қарап шығыңыз, содан кейін оны профиль қолданатын дәл сол ауқымда қолданыңыз.
Add-VpnConnectionRoute -ConnectionName 'Office VPN' -DestinationPrefix '10.90.0.53/32' -WhatIf Get-VpnConnection -Name 'Office VPN' | Select-Object -ExpandProperty Routes
Бірінші пәрмен ештеңе орнатпай-ақ өзгерісті алдын ала көрсетеді, ал екіншісі профиль қазір алып жүрген маршруттарды тізіп береді. Microsoft-тың Add-VpnConnectionRoute анықтамалығы әр пайдаланушы және барлық пайдаланушылар ауқымдарын құжаттайды; барлық пайдаланушылар профиліне өз ауқым параметрі қажет, ал барлық пайдаланушылар профиліне қарсы әр пайдаланушы пәрмені сәтсіз аяқталады немесе дұрыс емес жерге түседі.
Профиль басқарылса немесе жеткізуші клиентінен келсе, өзгеріс сол иеге тиесілі. Қосылым саясатының үстіне тұрақты жүйелік маршрутты қабаттау саясат қайта қолданылғанша және маршрут жойылғанша жұмыс істейді, бұл әдетте сынақ кезінде емес, қолдау қоңырауы кезінде болады. Бұл ақау үнсіз: маршрут жойылады, атау шешілуін тоқтатады және ешкім екі оқиғаны байланыстырмайды. Өзгерісті иенің өз жазбасына қойыңыз, келесі қайта қолдану оны өшірмей, алып жүрсін.
Қолданғаннан кейін маршрут күшіне енді деп болжамдаудың орнына профильді қайта қосыңыз. Жанды қосылымдағы маршрут өзгерістері әрдайым қабылдана бермейді, ал қайта қосылу пайдаланушыларыңыз іс жүзінде болатын күйді де қайта жаңғыртады.
Клиент іс жүзінде қай шешушіні қолданғанын тексеріңіз
Маршрут шешушіге адрестелген пакеттерді басқарады. Ол қай атауларды сол жерге жіберу керектігін шешпейді, және бұл таңдау жеке механизм. Windows-та әрекетті атау кеңістігі ережелері домен бойынша шешуші таңдай алады, ал профильдің DNS параметрлері әдепкі мәнді береді. Бұл екі қабат ешқандай қате шығармай-ақ келіспеуі мүмкін, сондықтан тікелей сұраныс дәлелдің жартысы ғана.
Get-DnsClientNrptPolicy Resolve-DnsName app.svc.example -Server 10.90.0.53 -Type A
Бірінші пәрмен қолданыстағы атау кеңістігі саясатын басып шығарады, ал екіншісі жеке шешушіден қосымшаның атауын тікелей сұрайды. Тікелей жауап жол мен шешушінің жұмыс істейтінін дәлелдейді; ол қосымшаның өз іздеуі сол серверді таңдағанын дәлелдемейді. Оны сол атаудың әдеттегі іздеуімен және қосымша алатын жауаппен салыстырыңыз.
Кэштерді және браузер деңгейіндегі қауіпсіз DNS-ті ескеріңіз, ол пайдаланушы терген атаулар үшін жүйелік шешушіні толықтай айналып өтуі мүмкін. Іздеу жұрнағы — тағы бір адасушы белгі: ол қысқа атауды толық білікті атауға кеңейтеді және қай сервер жауап беретініне еш қатысы жоқ.
Соңында қайта қосылып, әдеттегі іздеуді қайталаңыз, содан кейін әдеттегі шолу әлі де өз бекітілген саясатын ұстанатынын растаңыз. Байланыссыз атау шешілуі үшін жеке шешушіні жариямен алмастыру түзету емес, және ол жеке сұраныстарды ешқашан бармауға тиіс жерге үнсіз көшіреді.