DNS op engem Windows-VPN-Adapter mat PowerShell astellen an duerno iwwerpréiwen

Windows hänkt den DNS vum Tunnel un den Adapter, net un de VPN-Profil. Stell en no dem Verbannen a PowerShell an, a test duerno, ob eng nei Verbindung en hält.

Eng Windows-VPN-Verbindung späichert keng DNS-Server an dem Profil, deen s du an den Astellungen änderst. Wann den Tunnel opkënnt, verhandelt de Client d'IP-Konfiguratioun mam Gateway, de Gateway schéckt eng Lëscht vu Resolvere, an Windows setzt se op den Tunneladapter ëm. Dee Adapter ass eng separat Interface vun dengem Wi-Fi oder Ethernet, an d'Lëscht gehéiert zu der Interface, net zum Profil. Wann s eemol weess, wéi een Objet de Wäert besëtzt, ass d'Iwwerschreiwen a PowerShell eng eenzeg Uerdnung; d'Iwwerschreiwen iwwer eng nei Verbindung eraus z'erhalen ass deen Deel, deen eng Decisioun brauch.

Wéi en Objet besëtzt d'Adress

RAS schaaft den Tunneladapter, wann d'Verbindung geléngt, an hie läscht en, wann d'Verbindung fält. D'DNS-Server, déi s an ipconfig /all gesäit, komme bei deem Konfiguratiouns-austausch derbäi, nieft den IPv4- an IPv6-Adressen an de Routen. Well de Wäert un d'Interface gebonnen ass, schreift Set-DnsClientServerAddress an eppes, wat et nëmme gëtt, sou laang wéi d'Verbindung besteet.

Dee eenzege Fakt erkläert de gréissten Deel vun der Verwirrung ronderëm VPN-DNS. E Profil kann ee sech ukucken, während een net verbonnen ass, awer et gëtt keng Interface, op déi een ee weise kann, also schléit en Umellskript, dee de Cmdlet géint den VPN-Alias opruffe wëllt, fehl, ier iergendeen verbonnen ass. Et erkläert och eng Ännerung, déi schéngt zréckzegoen: näischt ass zréckgaangen, d'Interface gouf zerstéiert an nei opgebaut mat de Wäerter, déi de Gateway geschéckt huet.

Fannt den Alias, ier s den DNS ufaasst

Profilnumm an Interface-Alias sinn normalerweis deeselwechte String, awer et sinn net deeselwechten Objet. Get-VpnConnection listet Profiler op; Get-NetAdapter listet d'Interfacen op, déi Windows wierklech huet. D'DNS-Cmdleten wëllen déi zweet, an déi zwee ginn dacks méi auserneen, wéi d'Leit erwaarden, besonnesch wann de Client en Deskriptor wéi "(RAS)" un den Adapternumm hängt.

Wann de Profil net existéiert, kann PowerShell en nativen Andro maachen. Den Tunneltyp an d'Authentifikatioun mussen deem entspriechen, wat de Gateway ubitt, well eng Differenz beim Verbannen opdaucht an net beim Erschafen:

Add-VpnConnection -Name "Corporate" -ServerAddress vpn.example.net `
  -TunnelType Ikev2 -EncryptionLevel Required `
  -AuthenticationMethod Eap -AllUserConnection

Verbanne sech eemol, lies duerno den echte Alias, ier s iergendeng DNS-Uerdnung schreifs:

rasdial.exe "Corporate"
Get-NetAdapter | Where-Object InterfaceDescription -like "*VPN*"
Get-DnsClientServerAddress -InterfaceAlias "Corporate"

Setz d'Iwwerschreiwen an der richteger Reihenfolg ëm

D'Reihenfolg ass méi wichteg wéi d'Syntax. Den Adapter muss op sinn, den Alias muss sech opléisen, an de Kont muss et erlaabt sinn, Interface-Astellungen z'änneren. Eng Verbindung pro Benotzer akzeptéiert d'Ännerung normalerweis vum ageloggte Benotzer; eng Verbindung fir all Benotzer, déi mat -AllUserConnection gemaach gouf, brauch allgemeng eng erhéicht Shell.

De Cmdlet selwer ass eng eenzeg Zeil, dokumentéiert an der Referenz vu Set-DnsClientServerAddress vu Microsoft:

Set-DnsClientServerAddress -InterfaceAlias "Corporate" -ServerAddresses 10.20.0.53,10.20.0.54
Get-DnsClientServerAddress -InterfaceAlias "Corporate" -AddressFamily IPv4

Zwee Fehlermuster erkennt een am beschten op den éischte Bléck. En falschen Alias gëtt e Fehler vum Cmdlet, an dat ass déi gutt Ausgab, well Stëllschwäigen misst méi schlëmmer sinn. E korrekte Cmdlet ouni sichtbar Auswierkung heescht meeschtens, datt s de falschen Adapter ukucks: en iwwerreschtege Tunneladapter vun engem anere Client, eng physesch NIC mat enger ähnlecher Beschreiwung, oder en zweete virtuelle Adapter, deen en isoléiert Netzwierkgeschier ugeluecht huet.

Firwat eng nei Verbindung d'Ännerung kënne réckgängeg maachen

D'Iwwerschreiwen gehéiert zu enger eenzeger Instanz vun der Interface. Wann de Client den Adapter ofriwwelt an en bei der nächster Verbindung nees opbaut, ginn déi geschéckte Wäerter nees ugemaach an deng Lëscht ass fort. E puer Clienten erzéien d'Interface bei all Verbindung nei; anerer benotze se fir d'ganz Liewensdäer vun der Sitzung. Vergläich den Interface-Index an Get-NetAdapter tëschent zwee Verbindungen, an da weess s, wéi eng Verhalen s hutt.

Et ginn dräi dauerhaft Äntwerten, an hir Stapelung schaaft eegen Fehler. En DNS-Suffix, deen zur Verbindung gehéiert, plus eng NRPT-Regel schéckt nëmmen den internen Nummraum un den internen Resolver a léisst déi ëffentlech Nimm a Rou. Eng Astellung vu Group Policy oder MDM, déi op d'VPN-Verbindung ugewannt gëtt, setzt DNS beim Verbannen, ouni Skript. Eng geplangte Aufgab, déi op d'Evenement vun der Verbindung reagéiert an de Cmdlet nach eng Kéier ausféiert, ass déi gro Opptioun, awer se funktionnéiert an hannerléisst e Log. Wielt ee Proprietär fir DNS a schreift op, wien et ass.

Intern Nimm mat engem eenzege Label brauchen och eng Suffix-Sichlëscht. Set-DnsClientGlobalSetting -SuffixSearchList gëllt fir déi ganz Maschinn, also ännert et d'Opléiung fir all Adapter op der Këscht, inklusiv Ethernet. Test et op enger Labormaschinn, ier et an en Image geet.

Iwwerpréif d'Opléiung, net just d'Astellung

En Resolver, deen op engem Adapter opgezielt ass, beweist nëmmen, datt e Wäert geschriwwe gouf. Fro de virgesi Server direkt, fro dann iwwer de normale Wee:

Resolve-DnsName server01.corp.example -Server 10.20.0.53
Resolve-DnsName server01.corp.example

D'Opdeelung seet der, wou de Fehler läit. D'direkt Ufro äntwert an déi einfach Ufro schléit fehl: d'Adapterastellung oder d'Suffixlëscht ass net a Kraaft. Béid schléien fehl: de Resolver ass iwwer den Tunnel net erreechbar, also kuck Route an Firewallregelen un, ier s den DNS nach eng Kéier ufaasst. D'direkt Ufro schléit fehl, während déi einfach Ufro vun aneschtwou äntwert: Split-DNS ass falsch konfiguréiert an en internen Numm gëtt vun engem ëffentleche Resolver beäntwert, wat e Politikproblem ass, ier et e Verbindungsproblem ass.

Fuert den Test zweemol duerch, eemol direkt no dem Verbannen an eemol no engem Trennen an neie Verbannen, a vergläicht d'Ausgab vun Get-DnsClientServerAddress aus béide Lafen. Wann de geschéckte Wäert bei der zweeter Verbindung erëm do ass, huet d'Iwwerschreiwen mam Adapter gelieft an ass mat him gestuerwen, an nëmmen d'NRPT- oder d'Politiksroute vum virege Kapitel hält. Halt béid Transkripter an d'Zäitstempel vum Verbannen; si beäntweren d'Fro, ob et bleift, méi séier wéi nach eng Ronn Ännerungen.

Ähnlech Artikelen