Windows가 설정한 적 없는 DNS 서버로 VPN 이름을 보내는 이유

VPN 어댑터에 DNS 서버를 설정하고 다시 연결해도, 사설 이름은 이 노트북에서 아무도 구성하지 않은 사무실 리졸버에서 계속 돌아옵니다. 이 결과는 설정이 무시된 것처럼 보이고, 어댑터 목록이 결정이 아니라 후보 집합이기 때문에 어떤 면에서는 실제로 그렇습니다. Windows는 특정 접미사에 다른 서버를 지정할 수 있는 이름 공간 정책으로 이름을 확인하며, 그 정책은 어댑터 설정을 살펴보기 전에 적용됩니다. 이긴 규칙을 찾는 일은 어떤 표를 읽어야 하는지 알면 오 분이면 끝납니다.

무엇을 바꿨는지, 그리고 실제로 무엇이 결정하는지

어댑터의 DNS 주소는 그 인터페이스가 어디로 쿼리를 보낼 수 있는지 클라이언트에 알려 줍니다. 이름 확인 정책 표는 주어진 이름 공간에 대해 쿼리를 반드시 어디로 보내야 하는지 알려 주며, 이는 어댑터 단위가 아니라 이름 단위로 평가됩니다. 입력한 접미사에 규칙이 일치하면 그 규칙의 서버가 사용되고, 그 조회에서는 어댑터 목록이 의미를 잃습니다.

같은 노트북의 두 이름이 같은 순간에 서로 다른 경로를 갈 수 있는 이유입니다. 회사 접미사 아래의 호스트는 자기 규칙을 따르고, 공개 이름은 기본 경로를 따르는데, 보통 먼저 응답하는 어댑터를 뜻합니다.

표가 이름을 맞추는 방식

규칙은 이름 공간으로 키가 정해지고 가장 구체적인 일치가 이깁니다. corp.example 에 대한 규칙은 vpn.corp.example 에 적용되고 example.net 에는 적용되지 않습니다. . 이름 공간을 가진 규칙은 다른 규칙이 다루지 않는 모든 것을 덮으므로 목록에서 가장 위험한 항목이 되고, 관계없는 사이트가 터널을 통해 확인될 때 점검할 가치가 있는 항목이 됩니다.

규칙에는 주석, 항목을 비활성화하는 정책, DNS 주소와 무관한 보안 설정도 붙을 수 있습니다. 비활성화된 규칙은 구성에 그대로 보이지만 효과가 없으므로, 서류상 맞아 보이는 항목이 프로필 변경 뒤에도 작동하지 않을 수 있습니다.

소망 목록이 아니라 적용되는 표를 읽어라

구성된 규칙과 적용되는 규칙은 서로 다른 질문입니다. Get-DnsClientNrptRule 는 컴퓨터에 무엇이 있는지 나열합니다. Get-DnsClientNrptPolicy -Effective 는 정책과 로컬 설정에서 합쳐진 값으로 클라이언트가 실제로 무엇을 적용할지 보여 줍니다.

그 출력의 접미사를 시험하는 이름과 글자 하나씩 비교하십시오. corp.example 에 대한 규칙은 corp.example.com 로 끝나는 이름을 잡지 못하며, 한쪽에는 끝에 점이 있고 다른 쪽에는 없는 것만으로도 일치가 바뀝니다.

규칙이 없으면 Windows는 여러 어댑터에 묻는다

표의 어느 것도 이름을 주장하지 않으면 클라이언트는 쿼리를 여러 인터페이스로 내보내고 가장 먼저 도착한 응답을 택할 수 있습니다. 결과는 타이밍에 달려 있어, 같은 이름이 월요일에는 유선 어댑터에서, 화요일에는 터널에서 확인될 수 있고, 어느 어댑터의 구성에도 그 차이를 설명하는 것은 없습니다.

출구는 두 가지입니다. 결정이 경주가 되지 않도록 이름 공간에 규칙을 추가하거나, DNS 클라이언트 정책으로 병렬 동작을 끄고 느리지만 확정적인 확인을 받아들이십시오. 전자는 순서에 기대는 대신 의도를 기록하기 때문에 보통 분할 터널 VPN에 더 잘 맞습니다.

리졸버를 완전히 건너뛰는 경로

보안 DNS를 켠 브라우저는 스스로 확인하고 Windows에는 주소만 넘기므로 규칙 표가 그 이름을 보지 못합니다. 자체 리졸버가 있는 런타임 위에 만들어진 클라이언트도 같은 방식으로 동작할 수 있습니다. 같은 컴퓨터에서 한 애플리케이션에서는 확인되고 다른 애플리케이션에서는 실패한다면, 정책을 건드리기 전에 두 확인 경로를 비교하십시오.

앱이 이전 세션의 캐시된 주소로 연결되는지도 확인하십시오. Clear-DnsClientCache 을 실행한 뒤 같은 조회를 하면 오래된 결과로 추측하는 것보다 깔끔한 답을 얻습니다.

실패한 이름으로 시험하라

보고서에 있는 정확한 호스트 이름을 확인하고, 공개 속도 테스트 도메인이 아니라 어느 서버가 응답했는지 기록하십시오. 그다음 규칙, 어댑터 목록, 정책 할당 중 한 가지만 바꾸고 다시 연결한 뒤 같은 조회를 반복해 적용된 상태를 다시 만드십시오.

이름이 확인되는데 서비스가 계속 거부한다면 DNS 편집을 멈추십시오. 다음 유용한 단계는, 이름 확인이 이미 제 역할을 마쳤으므로, 주소와 그곳으로 가는 경로입니다.