Huet de VPN mäin DNS geännert? Vergläicht virun a no
E Profil kann deng Ufroen absichtlech verréckelen. Vergläich d’Politik vum Resolver an déi tatsächlech Äntwert virun an no enger VPN-Verbindung, an hal eng Verännerlech fest.
Du verbënns den Tunnel, méchs en private Dashboard op, an den Numm gëtt op eng Adress opgeléist, déi s du nach ni gesinn hues. Oder et geschitt ëmgedréit: de Browser schafft weider, während e Kommandozeilen-Tool op eemol näischt méi opléist. Béid Resultater kommen aus der selwechter Ännerung, an d’Leit erklären et meeschtens mat engem Saz iwwer de VPN, dee "säin eegenen DNS benotzt", wat net prezis genuch ass fir ze debuggen oder ze verifizéieren. An deem Saz sti verstoppt zwou Froen: wéi eng Ufroen dëse Profil iwwerhuele soll, an ob deng Maschinn se tatsächlech un de Resolver geschéckt huet, dee se krut? Se getrennt ze halen ass déi ganz Method, well en Test, dee se mengt, a béid Richtungen eng zouversichtlech falsch Äntwert gëtt.
Firwat e Profil iwwerhaapt e Resolver liwwert
Bannen an engem Tunnel ginn Nimm hannert dem wäite Enn meeschtens op Adressen opgeléist, déi et just an deem Netz ginn. Eng privat Zon wéi corp.internal huet keng ëffentlech Delegatioun, dofir muss de Resolver, deen se beäntwert, vun bannen aus dem Tunnel erreechbar sinn. Dee selwechte Mechanismus déngt engem zweete Zweck: wann d’Ufroe soss duerch däi Provider erausginn, hält e Resolver op der wäiter Säit d’Ufro bannent dem verschlësselte Wee. Dofir kënnt d’Adress vum DNS-Server als Deel vun der Politik vun der Verbindung an net als global Astellung, déi s du eemol fir d’Maschinn gewielt hues.
D’Adress eleng entscheet näischt. E Resolver kann nëmmen äntweren, wann et e Wee dohi gëtt, an dee meeschte Feeler ass e Resolver, deen nëmmen erreechbar ass, soulaang den Tunnel steet. Wann den Tunnel fält an d’Politik bleift, ginn d’Ufroe op eng Adress ouni Wee, an de Symptom ass en Zäitofbroch an net eng propper Feeler. Dee Ënnerscheed ass wichteg, wann s du den nächsten Testresultat lies, well en Zäitofbroch d’Leit an Transportastellungen schéckt, déi ni bedeelegt waren.
Vergläicht déi zwou Designen, éier s du Äntwerten vergläichs
Volltunnel a gespléckten DNS ginn entgéintgesate Erwaardungen, an keen vun deenen zwee ass e Stéierung. Ënnert engem Volltunnel kann all Ufro beim Provider oder beim Firmenresolver landen, dofir ass et erwaart, datt ëffentlech Nimm no der Verbindung anescht äntweren. Ënnert gesplécktem DNS ginn nëmmen déi opgezielt Domainen un de private Resolver, alles anescht bleift lokal; op Windows lieft d’Domainglëscht an der Name Resolution Policy Table, op macOS an den entspriechende Domainen vun den DNS-Astellungen, an op engem systemd-resolved Host an de Routing-Domaine pro Verbindung.
Dee Verglach ass fir d’éischt ze maachen, well en entscheet, wat als Feeler zielt. Bei gesplécktem DNS ass en ëffentlechen Numm, deen vun engem neien Resolver äntwert, dat, wat eng Ënnersich verdéngt, während en internen Numm, dee richteg äntwert, d’System ass, dat seng Aarbecht mécht. Bei engem Volltunnel ass d’Anomalie en ëffentlechen Numm, deen nach ëmmer vum Resolver vun dengem Provider äntwert. D’Dokumentatioun vu Microsoft iwwer d’VPN-Nummopléisung beschreift d’Windows-Reiefolleg vun dëse Regelen, dorënner wéi en entspriechende Politikantrag virun de Servere vum Adapter selwer consultéiert gëtt.
Et gëtt nach en drëtte Resolver am Raum, deen een einfach vergësst. Den sicheren DNS vum Browser léist Nimm selwer op a kann nach äntweren, nodeems den Tunnel d’Politik vum Betribssystem geännert huet, dofir beweist eng Säit, déi lued, datt de Resolver vum Browser geschafft huet, net datt de Profil ugewannt gouf. Wann s du nëmmen dat vergläichs, wat de Browser weist, testest s du d’Halschent vun der Zäit déi falsch Schicht.
Halt eng Basislinn mat nëmmen enger Verännerlecher fest
Ännere den Tunnel. Ännere net am selwechte Schrëtt och den Numm, d’Tool oder de Sichsuffix. Wielt en Numm, deen s du befroe däerfs, notéier wéi eng Applikatioun s du benotzt hues, a schreif entweder d’Adress, déi zréckkënnt, oder de geneeë Feeler op. Op Windows dréckt Get-DnsClientServerAddress -AddressFamily IPv4 d’Servere pro Adapter an Get-DnsClientNrptPolicy déi politesch Anträg; op Linux mat systemd-resolved weist resolvectl status d’DNS-Servere an Routing-Domainen pro Verbindung; op macOS dréckt scutil --dns d’Reiefolleg vun de Resolveren, déi d’System tatsächlech wäert befollegen.
Verbannt Iech dann iwwer déi normal Kontrollen vum Client a widderhëlt genee déiselwecht Kommandoen. Halt déi éischt Ausgab op, net d’Erënnerung un se, well de Verglach ass de ganzen Zweck an eng zweet Liesung no der Cache-Leerung ass schonn eng aner Miessung. Wann d’Basislinn mat dem Browser vir gedroe gouf an d’Laf no der Verbindung am Terminal geschitt, vergläichs du zwee Resolveren, net zwee Zustänn vun engem Resolver.
Eng explizit Ufro an eng Applikatiounssich si verschidden Tester
Ee bestëmmte Server ze froen, mat nslookup name 10.20.0.1 oder dig @10.20.0.1 name, beweist eng eenzeg Saach: datt de Server, deen s du genannt hues, äntwert, wann s du en erreeche kanns. Et ëmgeet d’Selektiounslogik komplett, dofir kann et net soen, ob d’System dee Server fir dësen Numm gewielt hätt. Benotz et, fir ze testen, ob den zougewisene Resolver erreechbar ass, a benotz et net, fir d’Politik ze testen.
Eng Sich iwwer de lokale Resolver üübt tatsächlech Selektioun aus. resolvectl query name geet déiselwecht Routing-Domainsregelen duerch a mëllt, wéi ee Protokoll geäntwert huet, Resolve-DnsName op Windows geet iwwer d’Politikstabell an de Client-Cache, an scutil --dns weist d’Reiefolleg, déi eng Sich befollege géif. Fuert béid Aarte aus, a halt se an getrennte Kolonnen vun dengen Noten. Eng explizit Ufro, déi geléngt, niewent enger Applikatiounssich, déi feelt, ass e Routing- oder Selektiounsproblem, net e Resolver, deen refuséiert ze schaffen.
De Cache steet tëscht dir an der Äntwert. D’Betribssystem, de lokale Stub-Resolver, de Browser an de negative Cache halen all Resultater, dofir kann eng Sich geléngen, ouni datt ee Paket d’Maschinn verléisst. Notéier d’Resultat, éier s du eppes läsch: ipconfig /flushdns, resolvectl flush-caches oder sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder op macOS. Iwwerspréng de breede Netzwierk-Reset an dëser Phas, well en d’Beweiser zerstéiert, déi s du nach sammels.
Wat den Ënnerscheed bedeit
Vergläicht déi zwee Zeilen, déi s du notéiert hues, a klassifizéier d’Ännerung, éier s du eng eenzeg Astellung beréiers.
| Observation after connect | Most likely cause | Next step |
|---|---|---|
| Answer moves to a private address range | Expected under split DNS or a private zone | Confirm the suffix is in the effective policy, then test the service |
| Lookup times out while connected, works after disconnect | The assigned resolver has no route from this machine | Probe it with an explicit query, then re-read the policy |
| Internal name fails, public names work | Wrong namespace or a suffix missing from the policy | Query the fully qualified name and check the domain list per platform |
| Internal name returns a public address | Split DNS not applied; a public resolver answered | Check browser secure DNS first, then the per-link domain list |
Eng Zeil verdéngt Betounung. En Numm, deen opgeléist gëtt, ass keen Déngscht, dee funktionéiert, an den DNS-Erfolleg seet nëmmen, datt eng Adress fonnt gouf. En seet näischt iwwer Weiderleedung, Firewall-Reegelen oder ob däi Kont den Déngscht iwwerhaapt benotze kann, dofir schléiss domat of, datt s du déi tatsächlech Applikatioun testest, amplaz unzehuelen, de Feeler wier vun eleng fortgaang.
Stell d’Basislinn erëm hier a verifizéier se
Trenn d’Verbindung iwwer dem Client seng eege Kontrollen, amplaz de Prozess ze killen, a lies duerno déiselwecht dräi Kommandoen nach eng Kéier. D’Servere pro Verbindung, d’Politikanträg an d’Äntwert fir däin Testnumm sollten op d’Basislinn zréckkommen, déi s du virdrun opgeschriwwen hues. En Iwwerrescht vun engem Politikantrag no enger propperer Trennung ass e richtegen Defekt, deen et wäert ass ze notéieren, an dofir sinn Handännerungen un enger generéierter Resolver-Datei eng schlecht Gewunnecht: d’Datei gëtt nei geschriwwen an d’Ännerung verschwënnt, oder d’Ännerung iwwerlieft a pinnet e Resolver fest, deen dauerhaft kee Wee méi huet.
Géi dës Lëscht eemol duerch, an der Reiefolleg. Entscheet, wéi en Design de Profil ëmsetzt, éier s du iergendeen Resultat beurteels. Haalt Numm, Tool a Suffix iwwer béid Läf fest. Trennt déi explizit Ufro vun der Applikatiounssich. Liest déi effektiv Politik, net nëmmen d’Äntwert. Läscht d’Cachen zu lescht, nodeems de Verglach opgeschriwwen ass. Verifizéier mat der richteger Applikatioun, start dann eemol nei a bestätegt, datt den ofgetrennte Zustand nach propper ass.