VPN туташтырылган, бирок аттар чечилбейт: DNS чындап кайда бузулат

Туннель көтөрүлгөн, белги жашыл, ал эми браузердин ар бир өтмөгү атты чечүүнүн ийгиликсиздигин билдирет. Бул көрүнүштү үч түрдүү механизм жаратат: чечүүчү жеткиликсиз болушу мүмкүн, кардар күтпөгөн чечүүчүдөн сурашы мүмкүн, же болгону жеке аттар чечилбеши мүмкүн. Туннель протоколунда бир нерсени өзгөртүүдөн мурун аларды ажыратыңыз, анткени ар бири башка жерде оңдолот. Төмөнкү тартип үчөөнү бири-биринен ажыратуучу байкоолордон башталат.

Издөөгө чындап эмне керек

Издөөгө үч нерсе керек: чечүүчүнүн дареги, ошол дарекке маршрут жана суроого дал келген жооп. Ар бири өзүнчө ийгиликсиз болушу мүмкүн, ал эми көрүнүп турган белги — жүктөлбөгөн ошол эле барак. Ошондуктан ката барагы үчөөнүн кайсынысы бузулганын билмейинче сизге дээрлик эч нерсе айтпайт.

Кардар өзүнүн чечүүчүсүн VPN профилинен, туннелдеги DHCPден же өзүнүн конфигурациясынан билет, ал эми кайсы булак жеңерине платформа жарашат. Windowsто ipconfig /all ар бир адаптер боюнча DNS серверлерин көрсөтөт, ошондуктан жөнөтүлгөн маани чындап жеткенин көрөсүз. Операциялык системага эч качан жетпеген жөнөтүлгөн маани — тынч жана көп кездешүүчү ийгиликсиздик. Профилге тийүүдөн мурун конфигурацияланган маанини окуңуз.

Linux жана macOS бир эле суроого ар башка буйруктар менен жооп берет, жана жооп ошол эле окууга татыктуу: resolvectl status жана scutil --dns экөө тең серверлерди интерфейс боюнча тизмелейт. Бул тизмени профиль жөнөтөт деп ырастаган дарек менен салыштырыңыз. Бул жердеги дал келбестик төмөнкүнүн баарын түшүндүрөт, ошондуктан аттарды сыноодон мурун аны чечиңиз.

Бир жалпы жана бир жеке атты сынаңыз

Жөнөкөй жалпы хост атын жана документтелген жеке хост атын ошол эле машинадан сураңыз жана кайсы сервер кайсынысына жооп бергенин жазыңыз. Экөө тең ийгиликсиз болсо, чечүүчү же анын маршруту бузулган. Болгону жеке ат ийгиликсиз болсо, чечүүчү жооп берди жана суроо аймакка же маршруттоого айланат. Эки суроону бир мүнөт ичинде аткарыңыз, маршрут өзгөрүүсү айырманы түшүндүрө албашы үчүн.

Ички аттарды жалпы скриншоттордон жана жалпы чечүүчүлөрдөн тышкары кармаңыз. Убакыт бүтүү жана жок домен жөнүндөгү жооп ар башка байкоолор: биринчиси эч нерсе кайтпаганын, экинчиси бийлик ат жок деп жооп бергенин билдирет. Экөөнү бир ката деп кароо сизди туура эмес катмарга жиберет, ал эми сертификат эскертүүсү дагы үчүнчү нерсе, DNS ийгиликсиздиги эмес.

nslookup суралган серверди да, алынган жоопту да басып чыгарат, жана бул дал сизге керек жуп. Аны ошол эле кабыкта эки жолу иштетип, жооп берген даректи ар бир жооптун жанына жазыңыз.

nslookup example.com
nslookup host.corp.example 10.20.30.53

Кардардын ошол серверге чындап жете аларын ырастаңыз

Профиль жөнөткөн жеке чечүүчү туннель көтөрүлгөндө кардар ага жете алса гана пайдалуу. Туура көрүнгөн дарек маршрутсуз убакыт бүтүүсүн жаратат, ал эми туннелдин туташкан абалы бул маршрут жөнүндө эч нерсе айтпайды. Текшерүү — чечүүчүнүн өзүнө багытталган маршрут издөө, VPNдин акыркы чекитине эмес.

Ар бир платформа муну бир сап менен жооптойт, ал эми чыгарылышта аталган интерфейс — толук жооп. Эгер ал физикалык адаптерди көрсөтсө, ал эми чечүүчү туннелдин артында турса, профиль аны камтыган префиксти жөнөтпөйт.

ip route get 10.20.30.53                      # Linux
route -n get 10.20.30.53                     # macOS
Find-NetRoute -RemoteIPAddress 10.20.30.53   # Windows PowerShell

Бөлүнгөн туннель профилинде чечүүчү жөнөтүлгөн маршруттардан тышкары турушу мүмкүн, бул сервердин эмес, профилдин маселеси. Чечүүчүнүн дарегин жөнөтүлгөн префикстер менен салыштырыңыз жана алардын бири аны камтый турганын ырастаңыз. Ошол эле дал келбестик DNS бир тармакта иштеп, окшош профили бар экинчисинде эмне үчүн ийгиликсиз болорун түшүндүрөт.

Браузерлер системалык чечүүчүнү айланып өтө аларын унутпаңыз

Коопсуз DNS күйгүзүлгөн браузер суроолорду HTTPS аркылуу өзү тандаган провайдерге жөнөтүп, операциялык системанын чечүүчүсүн толугу менен этибарга албашы мүмкүн. Ошондо система туура көрүнөт, ал эми браузер ийгиликсиз болот, же тескерисинче. Бул туннель үчүн эмес, браузер үчүн саясат маселеси.

Браузердин коопсуз-DNS параметрин жана аны көзөмөлдөгөн ар кандай башкарылуучу саясатты текшериңиз, андан кийин туннелди өзгөртпөй экинчи колдонмону же браузерди сынап көрүңүз. Болгону бир колдонмо ийгиликсиз болсо, оңдоо ошол колдонмого таандык. Жеке терезе таза салыштыруу эмес, анткени ал бир браузерде кеңейтүүлөрдү демейки боюнча өчүрүшү мүмкүн, экинчисинде өчүрбөйт, жана ал башкарылуучу саясатты эч качан айланып өтпөйт. Анын ордуна экинчи браузер профилин же башка колдонмону колдонуңуз.

Кэшти тазалап, чыныгы тапшырманы кайра сынаңыз

Параметрди оңдогондон кийин жергиликтүү чечүүчү кэшин тазалаңыз, эски жооп оңдоодон узак жашабашы үчүн. Кыска калыбына келүүдөн кийинки жаңы ийгиликсиздик себеп дагы эле бар экенин билдирет, тазалоо ийгиликсиз болгонун эмес. Үч кэш өзүнчө болгондуктан, өз машинаңызга дал келген сапты тандаңыз.

ipconfig /flushdns                 # Windows
resolvectl flush-caches            # Linux
sudo killall -HUP mDNSResponder    # macOS

Андан кийин синтетикалык издөөнүн ордуна баштапкы тапшырманы кайталаңыз, анткени колдонуучу үчүн маанилүүсү — тапшырманын өзү. Бир жолу кайра туташыңыз, кайра текшерүү колдонуучу чындап боло турган абалды камтышы үчүн. Microsoftтун nslookup маалымдамасы суроо аргументтери үчүн сактап коюуга татыктуу барак.

Эгер аттар болгону ажыраткандан кийин ийгиликсиз болсо, кардар мурунку конфигурацияны калыбына келтирген эмес, бул DNS серверин алмаштыруунун ордуна билдирүүгө тийиш турмуш циклинен ката. Иштеген издөө да агым тести эмес, анткени чыгуу өлкөсү кайсы чечүүчү жооп бергенин айтпайды.