Windows'то OpenVPN туташкандан кийин DNS эмнеге иштебей калат

53 порту эч жакка жетпесе да, чечүүчү ping'ге дагы эле жооп берет. block-outside-dns чыпкалап жатабы текшерип, анан туннель жете ала турган чечүүчүнү бериңиз.

Кеңсе чечүүчүсүнө ping "OpenVPN" туташкандан кийин да жооп алат, бирок ар бир ат издөө ийгиликсиз болот. Дарек жеткиликтүү, ал эми порт жок, бул айкалыш Windows DNS'ти адаптер боюнча чыпкалай аларын билгенде маанилүү болот. Профилде block-outside-dns болсо, ошол чыпка биринчи шектүү, ал эми маршруттар таблицасы издөө үчүн туура эмес жер. Төмөнкү эки тест катмарларды секунддарда ажыратат.

Жеткиликтүү дарек, өлүк порт

Ийгиликтүү ping хост иштеп жатканын жана жол бар экенин далилдейт. Ал 53 портуна жетүү уруксаты жөнүндө эч нерсе айтпайды, анткени сөз болуп жаткан чыпка башка катмарда иштейт жана адаптерге байланган. Ошондуктан бир эле машина ICMP'ге жооп берип, ошол эле дарекке жиберилген ар бир суроону четке кага алат. Ар кандай конфигурацияны өзгөртүүдөн мурун эки тестти тең бир сессияда иштетиңиз.

ping <resolver-ip>
nslookup <name> <resolver-ip>

Ошол жуп — диагноз. Ички тармакка карай кадимки трафик уланат, аттарды чечүү өлөт, адамдар сервер бузулган же DNS эч качан жиберилген эмес деп тыянак чыгарышат. Эки түшүндүрмөнүн артынан түшүү кымбат, ал эми далилдер тарыраак жерди көрсөтөт. Ар кандай параметрге тийүүдөн мурун жупту ырастаңыз.

Бул параметр — чыпкалоо платформасынын эрежеси

OpenVPN маалымдамасы block-outside-dns'ти Windows Filtering Platform'дун чектөөсү катары сүрөттөйт, ал колдонмолордун туннелден тышкаркы адаптерлерде DNS'ке жетүүсүнө тоскоол болот. Ал TCP жана UDP 53 портун камтыйт. Чыпка кадимки firewall эрежелеринин тизмесинде эмес, WFP ичинде жашагандыктан, башка жерде уруксат эрежесин кошуу натыйжаны сөзсүз өзгөртпөйт. Ошондуктан DNS'ке уруксат берүү тууралуу кеңири тараган кеңеш дагы эле ийгиликсиз.

Параметр импорттолгон профилден же серверден келиши мүмкүн, ал эми акыркы жолу түзөткөн файл "клиент эмнени жүктөгөнүнүн далили эмес". Иштеп жаткан конфигурация менен туташуу журналын чогуу окуңуз. Бул параметр Windows'ко гана таандык, аны көчмө деп эсептөө колдонулбаган кеңештерди берет.

Көбүрөөк эреже кошуунун ордуна ошол чектөөгө ээ клиент компонентин издеңиз. Ээси — аны чындап алып сала алган нерсе.

Чыпка чечүүчү эмес

Туннелден тышкаркы трафикти тосуу анын ичинде иштеген чечүүчүнү орнотпойт. Параметр жолду алып салып, туннелдин DNS конфигурациясын профилди түзгөн адамга калтырат. Чечүүчүнү эч качан жибербеген профилде азыр ал такыр жок.

Үч текшерүүнү тартиби менен аткарыңыз. Биринчиден, ийгиликсиз болгон колдонмо чындыгында кайсы чечүүчүнү колдонот. Экинчиден, клиент VPN DNS параметрлерин колдондубу. Үчүнчүдөн, кайсы интерфейс трафикти ошол чечүүчүгө жеткирет.

  1. Колдонуудагы чечүүчү: Resolve-DnsName -Server <resolver-ip> <name> куралынын жыйынтыгын ipconfig /all тизмелеген DNS серверлери менен салыштырыңыз.
  2. VPN DNS колдонулду: туннель адаптеринин DNS жазууларын ошол эле ipconfig /all чыгымында караңыз.
  3. Колдонулган интерфейс: Find-NetRoute -RemoteIPAddress <resolver-ip> ошол багыт үчүн чыгуучу интерфейсти атайт.

Бул саясат боюнча LAN чечүүчүсү долбоор боюнча жеткиликсиз болот, башка LAN трафиги иштеп турса да. Бул — параметрдин өз ишин аткарышы. Эгер долбоорго VPN аркылуу DNS керек болсо, чечүүчүнүн каттоосун жана туннелдин жолун оңдогула; эгер жергиликтүү өзгөчөлүктөр менен split DNS керек болсо, конфигурациянын ээси ошол өзгөчөлүктөрдү колдоого алынган жол менен билдирүүгө тийиш.

Бул параметр эмнени камтыбайт

53 порту — аттарды чечүүнүн баары эмес. DNS over HTTPS жана DNS over TLS башка ташууну колдонушат, ал эми айрым колдонмолор тутумдук параметрлерге карабастан өз чечүүчү логикасын иштетишет. Ошондуктан браузер аттарды чече алат, буйрук сабы чече албайт.

Бул айырманы карама-каршылык эмес, диагностика катары кабыл алыңыз. Тутумдук чечүүчү бузулду деп чечмелерден мурун экөөнү салыштырыңыз.

Жазганда тыянакты кууш кармаңыз. Бул параметр бир платформада бир ташууну чектейт, ал эми чечүү жолунун калганы өз ээси бар өзүнчө долбоорлоо маселеси.

Ажыратуудан мурун жана кийин абалды текшериңиз

Ошол эле издөөнү туташуу учурунда жана ээси клиент ажырагандан кийин кайра иштетиңиз. Биринчиси тышкы чечүүчү үчүн туннель көтөрүлгөндө ийгиликсиз болушу керек, ал эми экинчиси чыпка алынгандан кийин ийгиликтүү болушу керек. Эгер ажырагандан кийин да ийгиликсиз болсо, чыпка тазаланган эмес.

ipconfig /displaydns
nslookup <name> <resolver-ip>

Клиент кызматын же машинаны кайра баштоо адатта эскирген чыпканы тазалайт. Бул диагнозду ырастайт, бирок туруктуу оңдоону далилдебейт. Көргөнүңүздү жазып алыңыз, анткени ажыратуудан аман калган чыпка муну кайра жасайт, ал эми жазуу ката жөнүндөгү отчетту негиздейт.

Ушул текшерүүлөрдөн кийин гана чечүүчүнү алмаштыруу же firewall саясатын кайра куруу маанилүү. Экөө тең далилдер колдогондон чоңураак өзгөртүүлөр.

Тектеш макалалар