Ären Split-Tunnel erreecht d’App, awer net hiren DNS-Server

D’Subnetz vun der Applikatioun ze routen ass den offensichtlechen Deel vun engem Split-Tunnel, an et ass net déi ganz Aarbecht. De Resolver sëtzt dacks op enger anerer Adress wéi d’Applikatioun, déi en zerwéiert, sou datt en funktionéierenden Tunnel d’Sich nach ëmmer dobausse loosse kann. E Profil, deen 10.80.0.0/16 drop huet an soss näischt, schéckt d’Ufro fir 10.90.0.53 iwwer déi lokal Interface eraus, wou et keng privat Zon gëtt. Setzt de Wee vum Resolver derbäi a kuckt dann déi zweet Hallschent vum Problem: wéi e Server de Client tatsächlech wielt.

De Mythos: eng Route deckt de ganze Service of

E Split-Tunnel ass eng Lëscht vun Destinatiounen, déi duerch d’Verbindung ginn, keng Beschreiwung vun engem Service. D’Subnetz vun der Applikatioun an d’Adress vum Resolver sinn zwou Destinatiounen, an e Profil kann déi eng ouni déi aner droen. Wann dat geschitt, ass d’Applikatioun iwwer d’Adress erreechbar, während hiren Numm feelt, wat méi wéi en DNS-Fehler wéi eng Routing-Lück ausgesäit.

D’Subnetz ronderëm de Resolver ass och net automatesch ofgedeckt. Eng Host-Route zu enger eenzeger Adress ass genuch fir dee Resolver an mécht seng Noperen net op. Dat ass de Punkt vun enger Host-Route: schmuel vum Design, an einfach ze vergiessen, wann de nächste Service am selwechten Subnetz erschéngt.

Dräi Saachen mussen zutreffen, fir datt d’Sich funktionéiert: de Client routet d’Adress vum Resolver duerch den Tunnel, de Gateway akzeptéiert a leet déi Ufro weider, an de Resolver akzeptéiert d’Quell, déi en kritt. D’Äntwert muss och iwwer de vereinbarte Wee zréckkommen. Feelt eng dovun, ass de Symptom identesch, dofir lount et sech, d’Adresstabell opzeschreiwen, ier een eng Konfiguratioun ufässt.

Bestëmmt, wéi eng Adressen de Profil muss droen

Lëscht d’Destinatiounen der Rei no op: d’Netz vun der Applikatioun, d’Adress vum Resolver an de publique Endpunkt, deen den Tunnel selwer ofschléisst. Déi drëtt däerf ni an den Tunnel gerout ginn, well d’aussen Verbindung e Wee brauch, dee virum Tunnel existéiert.

Huet souwuel UDP wéi och TCP fir DNS dobäi, well vun den Implementatioune erwaart gëtt, TCP niewent UDP ze ënnerstëtzen, an e blockéierte TCP-Wee langsam, deelweis Feeler amplaz vu proppere produzéiert. Wann déi privat Zon och iwwer IPv6 zerwéiert gëtt, benotzt déi entspriechend Host-Ausnam eng IPv6-Adress an e Präfix an ass en eegene Posten.

Schreift op, wat de Profil schonn ofdeckt, ier Dir eppes derbäisetzt. Eng duebel Route ass harmlos, awer eng onerwaart existéierend Route seet Iech, datt de Profil fir en aneren Adressplang entwéckelt gouf wéi deen, deen Dir kritt hutt.

Setzt d’Host-Route iwwer den Eegentümer vun der Verbindung derbäi

Bei engem lokal geréierte native Windows-Profil gehéiert d’Route zu der Verbindung an net zu der globaler Routing-Tabell vun der Maschinn. Kuckt d’Ergänzung fir d’éischt an der Virschau un a setzt se dann mam selwechte Beräich duerch, deen de Profil benotzt.

Add-VpnConnectionRoute -ConnectionName 'Office VPN' -DestinationPrefix '10.90.0.53/32' -WhatIf
Get-VpnConnection -Name 'Office VPN' | Select-Object -ExpandProperty Routes

Den éischte Kommando weist d’Ännerung an der Virschau, ouni eppes z’installéieren, an den zweete lëscht d’Routen op, déi de Profil aktuell dréit. Dem Microsoft seng Referenz zu Add-VpnConnectionRoute dokumentéiert d’Beräicher pro Benotzer a fir all Benotzer; en All-Benotzer-Profil brauch säin eegene Beräichsparameter, an e Pro-Benotzer-Kommando géint en All-Benotzer-Profil feelt oder lant op der falscher Plaz.

Wann de Profil geréiert gëtt oder vun engem Fournisseur-Client kënnt, gehéiert d’Ännerung deem Eegentümer. Eng permanent Systemroute iwwer eng Verbindungsrichtlinie ze stappelen funktionéiert, bis d’Richtlinie erëm ugewannt gëtt an d’Route fort ass, wat éischter wärend engem Support-Uruff wéi wärend de Tester geschitt. Dee Feeler ass stëll: d’Route verschwënnt, den Numm hält op ze léisen, an näischt verbënnt déi zwou Evenementer. Setzt d’Ännerung an den eegenen Deel vum Eegentümer, sou datt déi nächst Reapplikatioun se dréit amplaz se ze läschen.

Verbindt de Profil no der Applikatioun nei, amplaz unzehuelen, datt d’Route wierksam gouf. Routeännerungen op enger lieweger Verbindung ginn net ëmmer ugeholl, an eng Neiverbindung reproduzéiert och den Zoustand, deen Är Benotzer tatsächlech hunn.

Kontrolléiert, wéi e Resolver de Client tatsächlech benotzt huet

Eng Route kontrolléiert d’Paketen, déi un de Resolver adresséiert sinn. Se decidéiert net, wéi eng Nimm dohinner geschéckt musse ginn, an déi Auswiel ass en eegene Mechanismus. Op Windows kënnen effektiv Nummraumregelen e Resolver pro Domain wielen, während d’DNS-Astellungen vum Profil eng Standardwäert liwweren. Déi zwou Schichten kënnen diskordéieren, ouni en Feeler ze produzéieren, dofir ass eng direkt Ufro nëmmen d’Halschent vum Beweis.

Get-DnsClientNrptPolicy
Resolve-DnsName app.svc.example -Server 10.90.0.53 -Type A

Den éischte Kommando dréckt déi gëlteg Nummraumpolitik, an den zweete freet de private Resolver direkt no dem Numm vun der Applikatioun. Eng direkt Äntwert beweist, datt de Wee an de Resolver funktionéieren; se beweist net, datt d’Sich vun der Applikatioun selwer dee Server gewielt huet. Vergläicht se mat enger normaler Sich vum selwechten Numm an mat der Äntwert, déi d’Applikatioun kritt.

Huet d’Caches an den sécheren DNS op Browser-Niveau am Kapp, deen de System-Resolver fir Nimm, déi e Benotzer getippt huet, komplett ëmgoe kann. E Sichsuffix ass nach eng falsch Spur: en erweidert en ett Numm zu engem voll qualifizéierten an huet näischt domat ze dinn, wéi e Server äntwert.

Schléisst of, andeems Dir nei verbënnt an déi normal Sich widderhuelt, a bestätegt dann, datt dat gewéinlech Browsen nach ëmmer senger geneemegter Richtlinie follegt. De private Resolver duerch en publique ersetzen, fir datt en onrelatéierten Numm sech léist, ass keng Korrektur, an et verréckelt privat Ufroen stëll dohinner, wou se ni sollten higinn.