VPN қосылған, бірақ атаулар шешілмейді: DNS шын мәнінде қайда бұзылады

Жасыл туннель мен сәтсіз іздеулер шешушіге, оның маршрутына немесе бір қолданбаға меңзейді. VPN протоколына тимес бұрын жалпы және жеке атауды сынап көріңіз.

Туннель көтерілген, белгіше жасыл, ал браузердің әрбір қойындысы атауды шешу сәтсіздігін хабарлайды. Бұл көріністі үш түрлі механизм жасайды: шешуші қолжетімсіз болуы мүмкін, клиент күтпеген шешушіден сұрауы мүмкін, немесе тек жеке атаулар шешілмеуі мүмкін. Туннель протоколында бірдеңе өзгертуден бұрын оларды ажыратыңыз, өйткені әрқайсысы басқа жерде жөнделеді. Төмендегі рет үшеуін бір-бірінен ажырататын бақылаулардан басталады.

Іздеуге шын мәнінде не қажет

Іздеуге үш нәрсе қажет: шешуші мекенжайы, сол мекенжайға маршрут және сұраққа сәйкес жауап. Әрқайсысы жеке-дара сәтсіз болуы мүмкін, ал көрінетін белгі — жүктелмейтін сол бет. Сондықтан қате беті үшеуінің қайсысы бұзылғанын білмейінше сізге ештеңе дерлік айтпайды.

Клиент өз шешушісін VPN профилінен, туннельдегі DHCP-дан немесе өз конфигурациясынан біледі, ал қай дереккөз жеңетіні платформаға байланысты. Windows-та ipconfig /all әр адаптер бойынша DNS серверлерін көрсетеді, сондықтан жіберілген мән шынымен жеткенін көресіз. Операциялық жүйеге ешқашан жетпеген жіберілген мән — тыныш және жиі кездесетін сәтсіздік. Профильге тимес бұрын конфигурацияланған мәнді оқыңыз.

Linux пен macOS бір сұраққа әртүрлі командалармен жауап береді, және жауап сол оқуды қажет етеді: resolvectl status және scutil --dns екеуі де серверлерді интерфейс бойынша тізімдейді. Бұл тізімді профиль жібереді деп мәлімдеген мекенжаймен салыстырыңыз. Мұндағы сәйкессіздік төмендегінің бәрін түсіндіреді, сондықтан атауларды сынамас бұрын оны реттеңіз.

Бір жалпы және бір жеке атауды сынаңыз

Қарапайым жалпы хост атауын және құжатталған жеке хост атауын сол машинадан сұраңыз және қай сервер қайсысына жауап бергенін жазыңыз. Екеуі де сәтсіз болса, шешуші немесе оның маршруты бұзылған. Тек жеке атау сәтсіз болса, шешуші жауап берді және сұрақ аймаққа немесе маршруттауға айналады. Екі сұрауды бір минут ішінде орындаңыз, маршрут өзгерісі айырмашылықты түсіндіре алмауы үшін.

Ішкі атауларды жалпы скриншоттардан және жалпы шешушілерден тыс ұстаңыз. Уақыт біту мен жоқ домен туралы жауап әртүрлі бақылаулар: біріншісі ештеңе қайтпағанын, екіншісі өкілеттік атаудың жоқ екенін жауап бергенін білдіреді. Екеуін бір қате деп қарау сізді дұрыс емес қабатқа жібереді, ал сертификат ескертуі тағы үшінші нәрсе, DNS сәтсіздігі емес.

nslookup сұралған серверді де, алынған жауапты да басып шығарады, және бұл дәл сізге керек жұп. Оны сол қабықта екі рет іске қосыңыз және жауап берген мекенжайды әр жауаптың қасына жазыңыз.

nslookup example.com
nslookup host.corp.example 10.20.30.53

Клиенттің сол серверге шынымен жете алатынын растаңыз

Профиль жіберген жеке шешуші тек туннель көтерілгенде клиент оған жете алса ғана пайдалы. Дұрыс көрінетін мекенжай маршрутсыз уақыт бітуін тудырады, ал туннельдің қосылған күйі бұл маршрут туралы ештеңе айтпайды. Тексеру — шешушінің өзіне бағытталған маршрут іздеуі, VPN соңғы нүктесіне емес.

Әр платформа мұны бір жолмен жауаптайды, ал шығыста аталған интерфейс — толық жауап. Егер ол физикалық адаптерді көрсетсе, ал шешуші туннельдің артында болса, профиль оны қамтитын префиксті жібермейді.

ip route get 10.20.30.53                      # Linux
route -n get 10.20.30.53                     # macOS
Find-NetRoute -RemoteIPAddress 10.20.30.53   # Windows PowerShell

Бөлінген туннель профилінде шешуші жіберілген маршруттардан тыс тұруы мүмкін, бұл сервердің емес, профильдің мәселесі. Шешушінің мекенжайын жіберілген префикстермен салыстырыңыз және олардың бірі оны қамтитынын растаңыз. Дәл сол сәйкессіздік DNS бір желіде жұмыс істеп, бірдей профилі бар екіншісінде неге сәтсіз болатынын түсіндіреді.

Браузерлер жүйелік шешушіні айналып өте алатынын есте сақтаңыз

Қауіпсіз DNS қосулы браузер сұрауларды HTTPS арқылы өзі таңдаған провайдерге жіберіп, операциялық жүйенің шешушісін толығымен елемеуі мүмкін. Сонда жүйе дұрыс көрінеді, ал браузер сәтсіз болады, немесе керісінше. Бұл туннель үшін емес, браузер үшін саясат мәселесі.

Браузердің қауіпсіз-DNS параметрін және оны басқаратын кез келген басқарылатын саясатты тексеріңіз, содан кейін туннельді өзгертпей екінші қолданбаны немесе браузерді сынап көріңіз. Тек бір қолданба сәтсіз болса, түзету сол қолданбаға жатады. Жеке терезе таза салыстыру емес, өйткені ол бір браузерде кеңейтімдерді әдепкі бойынша өшіруі мүмкін, екіншісінде өшірмейді, және ол басқарылатын саясатты ешқашан айналып өтпейді. Оның орнына екінші браузер профилін немесе басқа қолданбаны пайдаланыңыз.

Кэшті тазалап, нақты тапсырманы қайта сынаңыз

Параметрді түзеткеннен кейін жергілікті шешуші кэшін тазалаңыз, ескі жауап түзетуден ұзақ өмір сүрмеуі үшін. Қысқа қалпына келуден кейінгі жаңа сәтсіздік себептің әлі бар екенін білдіреді, тазалау сәтсіз болғанын емес. Үш кэш бөлек болғандықтан, өз машинаңызға сәйкес жолды таңдаңыз.

ipconfig /flushdns                 # Windows
resolvectl flush-caches            # Linux
sudo killall -HUP mDNSResponder    # macOS

Содан кейін синтетикалық іздеудің орнына бастапқы тапсырманы қайталаңыз, өйткені пайдаланушыға маңыздысы — тапсырманың өзі. Бір рет қайта қосылыңыз, қайта тексеру пайдаланушы шынымен болатын күйді қамтуы үшін. Microsoft-тың nslookup анықтамасы сұрау аргументтері үшін сақтауға тұрарлық бет.

Егер атаулар тек ажыратқаннан кейін сәтсіз болса, клиент алдыңғы конфигурацияны қалпына келтірмеген, бұл DNS серверін ауыстырудың орнына хабарлауға тиіс өмірлік цикл қатесі. Жұмыс істейтін іздеу де ағып кету тесті емес, өйткені шығу елі қай шешуші жауап бергенін айтпайды.

Қатысты мақалалар