Windows жүйесінде OpenVPN қосылғаннан кейін DNS неге тоқтайды

Кеңсе шешушісіне ping "OpenVPN" қосылғаннан кейін де жауап алады, бірақ әр атау іздеу сәтсіз аяқталады. Мекенжай жетімді, ал порт жоқ, бұл үйлесім Windows-тың DNS-ті адаптер бойынша сүзуге қабілетті екенін білгенде мағыналы болады. Профильде block-outside-dns болса, сол сүзгі бірінші күдікті, ал маршруттар кестесі іздеу үшін дұрыс емес жер. Төмендегі екі тест қабаттарды секундтарда ажыратады.

Жетімді мекенжай, өлі порт

Сәтті ping хосттың жұмыс істеп тұрғанын және жолдың бар екенін дәлелдейді. Ол 53 портына жету рұқсаты туралы ештеңе айтпайды, себебі аталған сүзгі басқа қабатта жұмыс істейді және адаптерге байланысты. Сондықтан бір машина ICMP-ге жауап беріп, сол мекенжайға жіберілген әр сұраныстан бас тарта алады. Кез келген конфигурацияны өзгертуден бұрын екі тесті де бір сессияда іске қосыңыз.

ping <resolver-ip>
nslookup <name> <resolver-ip>

Осы жұп — диагноз. Ішкі желіге қарайтын әдеттегі трафик жалғасады, ал атауларды шешу өледі, сонда адамдар сервер бүлінген немесе DNS ешқашан жіберілмеген деп қорытынды жасайды. Екі түсініктеменің соңына түсу қымбат, ал дәлелдер тарырақ жерге нұсқайды. Кез келген параметрге тиюден бұрын жұпты растаңыз.

Бұл параметр — сүзу платформасының ережесі

OpenVPN анықтамасы block-outside-dns-ті Windows Filtering Platform шектеуі ретінде сипаттайды, ол қосымшалардың туннельден тыс адаптерлерде DNS-ке жетуіне кедергі жасайды. Ол TCP және UDP 53 портын қамтиды. Сүзгі әдеттегі firewall ережелерінің тізімінде емес, WFP ішінде тұратындықтан, басқа жерде рұқсат ережесін қосу нәтижені міндетті түрде өзгертпейді. Сондықтан DNS-ке рұқсат беру туралы кең тараған кеңес әлі де сәтсіз.

Параметр импортталған профильден немесе серверден келуі мүмкін, ал соңғы рет өңдеген файл "клиенттің нені жүктегенінің дәлелі емес". Әрекеттегі конфигурация мен қосылу журналын бірге оқыңыз. Бұл параметр Windows-қа тән де, оны тасымалданатын деп санау қолданылмайтын кеңестер береді.

Көбірек ереже қосудың орнына осы шектеуге ие клиент компонентін іздеңіз. Иесі — оны шынымен алып тастай алатын нәрсе.

Сүзгі шешуші емес

Туннельден тыс трафикті бөгеу оның ішінде жұмыс істейтін шешуші орнатпайды. Параметр жолды алып тастап, туннельдің DNS конфигурациясын профильді жасаған адамға қалдырады. Шешушіні ешқашан жібермеген профильде қазір ол мүлде жоқ.

Үш тексеруді ретімен орындаңыз. Біріншіден, сәтсіз қосымша шын мәнінде қай шешушіні қолданады. Екіншіден, клиент VPN DNS параметрлерін қолданды ма. Үшіншіден, қай интерфейс трафикті сол шешушіге жеткізеді.

1. Қолданыстағы шешуші: Resolve-DnsName -Server <resolver-ip> <name> құралының нәтижесін ipconfig /all тізімдейтін DNS серверлерімен салыстырыңыз.
2. VPN DNS қолданылды: туннель адаптерінің DNS жазбаларын сол ipconfig /all шығысында қараңыз.
3. Қолданылған интерфейс: Find-NetRoute -RemoteIPAddress <resolver-ip> сол мақсат үшін шығатын интерфейсті атайды.

Осы саясат бойынша LAN шешушісі жоба бойынша қолжетімсіз болады, тіпті басқа LAN трафигі жұмыс істеп тұрса да. Бұл — параметрдің өз жұмысын атқаруы. Егер жобаға VPN арқылы DNS қажет болса, шешушінің тіркелуін және туннель жолын түзетіңіз; егер жергілікті ерекшеліктермен split DNS қажет болса, конфигурация иесі сол ерекшеліктерді қолдау көрсетілген тәсілмен білдіруі керек.

Бұл параметр нені қамтымайды

53 порты — атауларды шешудің бәрі емес. DNS over HTTPS және DNS over TLS басқа көліктерді пайдаланады, ал кейбір қосымшалар жүйелік параметрлерге қарамастан өз шешуші логикасын іске қосады. Сондықтан браузер атауларды шеше алады, ал командалық жол шеше алмайды.

Бұл айырмашылықты қайшылық емес, диагностика ретінде қабылдаңыз. Жүйелік шешуші бүлінген деп шешпес бұрын екеуін салыстырыңыз.

Жазғанда қорытындыны тар ұстаңыз. Бұл параметр бір платформада бір көлікті шектейді, ал шешу жолының қалғаны өз иесі бар жеке жобалау сұрағы.

Ажыратуға дейін және кейін күйді тексеріңіз

Сол іздеуді қосылу кезінде және иесі клиент ажыратылғаннан кейін қайта іске қосыңыз. Біріншісі сыртқы шешуші үшін туннель көтерілген кезде сәтсіз болуы керек, ал екіншісі сүзгі алынғаннан кейін сәтті болуы керек. Егер ажыратудан кейін де сәтсіз болса, сүзгі тазаланбаған.

ipconfig /displaydns
nslookup <name> <resolver-ip>

Клиент қызметін немесе машинаны қайта іске қосу әдетте ескірген сүзгіні тазалайды. Бұл диагнозды растайды, бірақ тұрақты түзетуді дәлелдемейді. Көргеніңізді жазып алыңыз, себебі ажыратудан аман қалған сүзгі мұны қайта жасайды, ал жазба қате туралы есепті негіздейді.

Осы тексерулерден кейін ғана шешушіні ауыстыру немесе firewall саясатын қайта құру мағыналы. Екеуі де дәлелдер қолдайтыннан үлкен өзгерістер.