VPN verbonnen, awer Nimm feelen: wou DNS wierklech brécht

Tunnel steet, Ikon gréng, an all Browser-Tab mellt e Feeler bei der Numm-Opléisung. Dräi verschidde Mechanisme maachen dëst Bild: den Aufléiser kann net erreechbar sinn, de Client freet vläicht en Aufléiser, deen s de net erwaart hues, oder just déi privat Nimm kënne feelen. Trennt se, éier s eppes um Tunnelprotokoll ännert, well jiddwereen op enger anerer Plaz reparéiert gëtt. D'Reiefolleg hei drënner fänkt mat de Beobachtungen un, déi déi dräi vunenee trennen.

Wat eng Ufro wierklech brauch

Eng Ufro brauch dräi Saachen: eng Aufléiseradress, eng Route bis zu dëser Adress an eng Äntwert, déi zur Fro passt. Jiddwereen kann eleng feelen, an de siichtbare Symptom ass déiselwecht Säit, déi net lued. Dofir seet d'Feelsäit dir bal näischt, bis s weess, wat vun den dräi gebrachent ass.

De Client léiert säin Aufléiser aus dem VPN-Profil, aus DHCP um Tunnel oder aus senger eegener Konfiguratioun, a wéi eng Quell gewënnt, hänkt vun der Plattform of. Ënnert Windows listet ipconfig /all d'DNS-Serveren pro Adapter op, esou datt s gesäis, ob de geschéckte Wäert wierklech ukomm ass. E geschéckte Wäert, deen ni bis an d'Betribssystem komm ass, ass e stille a geleefege Feeler. Liest de konfiguréierte Wäert, éier s de Profil ufäss.

Linux an macOS beäntweren déiselwecht Fro mat anere Kommandos, an d'Äntwert verdéngt déiselwecht Lektür: resolvectl status an scutil --dns béid lëschten d'Serveren pro Interface op. Vergläicht déi Lëscht mat der Adress, déi de Profil behaaptt ze schécken. Eng Onstëmmegkeet hei erkläert alles weider ënnen, dofir klär se, éier s Nimm test.

Test en ëffentlechen an en privaten Numm

Frot en normale ëffentlechen Hostnumm an den dokumentéierte private Hostnumm vun der selwechter Maschinn of, a schreif op, wéi en Server op jiddwereen geäntwert huet. Wann béid feelen, ass den Aufléiser oder seng Route futti. Wann just de privaten Numm feelt, huet den Aufléiser geäntwert an d'Fro gëtt d'Zon oder d'Routing. Fuert béid Ufroen an enger Minutt vunenee aus, esou datt eng Routenännerung den Ënnerscheed net erkläre kann.

Halt intern Nimm aus ëffentleche Screenshots an aus ëffentlechen Aufléiser eraus. En Timeout an eng Äntwert iwwer eng net existéierend Domain sinn ënnerschiddlech Beobachtungen: déi éischt seet, datt näischt zréckkoum, déi zweet, datt eng Autoritéit geäntwert huet, den Numm géif net existéieren. Wann s se als ee Feeler behandelt, kommt s op déi falsch Schicht, an eng Zertifikatwarnung ass nach eng drëtt Saach, keen DNS-Feeler.

nslookup dréckt souwuel de Server, dee gefrot gouf, wéi och d'Äntwert, déi ukomm ass, an dat ass genee de Puer, deen s brauch. Fuert et zweemol an der selwechter Shell aus a schreif déi äntwerend Adress nieft all Äntwert.

nslookup example.com
nslookup host.corp.example 10.20.30.53

Bestätegt, datt de Client dee Server wierklech erreeche kann

En private Aufléiser, deen de Profil schéckt, ass nëmmen nëtzlech, wann de Client en erreeche kann, wärend den Tunnel steet. Eng Adress, déi richteg ausgesäit, awer keng Route huet, produzéiert en Timeout, an de verbonnene State vum Tunnel seet näischt iwwer déi Route. D'Kontroll ass eng Routesich, déi op den Aufléiser selwer gezielt ass, net op den VPN-Endpunkt.

All Plattform beäntwert dat an enger Zeil, an den Interface, deen an der Ausgab genannt gëtt, ass déi ganz Äntwert. Wann et op den physeschen Adapter weist, wärend den Aufléiser hannert dem Tunnel sëtzt, schéckt de Profil kee Prefix, deen en deckt.

ip route get 10.20.30.53                      # Linux
route -n get 10.20.30.53                     # macOS
Find-NetRoute -RemoteIPAddress 10.20.30.53   # Windows PowerShell

Bei engem Split-Tunnel-Profil kann den Aufléiser baussent de geschéckte Routen leien, wat e Profilproblem ass an keen Serverproblem. Vergläicht d'Aufléiseradress mat de geschéckte Prefixen a bestätegt, datt ee vun hinnen se deckt. Déiselwecht Onstëmmegkeet erkläert, firwat DNS an engem Netzwierk funktionnéiert an an engem aneren mat identeschem Profil feelt.

Denkt drun, datt Browseren den Systemaufléiser kënnen ëmgoen

E Browser mat aktivem sécheren DNS kann Ufroen iwwer HTTPS un e Provider vu senger Wiel schécken an den Aufléiser vum Betribssystem komplett ignoréieren. Dann gesäit de System richteg aus, wärend de Browser feelt, oder ëmgedréit. Dat ass eng Richtlinnenfro fir de Browser, net fir den Tunnel.

Kuckt d'Astellung fir sécheren DNS am Browser an all geréiert Richtlinn un, déi se kontrolléiert, a probéiert dann eng zweet Applikatioun oder e Browser mam onverännerten Tunnel. Wann just eng Applikatioun feelt, gehéiert d'Korrektur an déi Applikatioun. E private Fënster ass kee proppere Verglach, well et an engem Browser Erweiderunge standardméisseg desaktivéiere kann an an engem aneren net, an et ëmgeet ni eng geréiert Richtlinn. Benotzt amplaz en zweete Browserprofil oder eng aner Applikatioun.

Leert de Cache a test de richtegen Aufgabe nach eng Kéier

Nodeems s eng Astellung korrigéiert hutt, leert de lokalen Aufléiser-Cache, esou datt eng al Äntwert d'Korrektur net iwwerlieft. Eng kuerz Erhuelung, gefollegt vun engem neien Feeler, heescht, datt d'Ursaach nach do ass, net datt d'Leeren huet versot. Wielt d'Zeil, déi zu der Maschinn passt, op där s sidd, well déi dräi Caches getrennt sinn.

ipconfig /flushdns                 # Windows
resolvectl flush-caches            # Linux
sudo killall -HUP mDNSResponder    # macOS

Widderholl duerno den ursprénglechen Aufgabe amplaz enger syntheesescher Ufro, well den Aufgabe ass, wat de Benotzer intresséiert. Verbënnt Iech och eng Kéier nei, esou datt den Neitest de State deckt, an deem de Benotzer wierklech wäert sinn. Dem Microsoft seng nslookup-Referenz ass d'Säit, déi een fir d'Argumenter vun der Ufro behält.

Wann Nimm just no der Trennung feelen, huet de Client déi viregt Konfiguratioun net restauréiert, wat e Lifecycle-Feeler ass, dee gemellt gehéiert, an keen DNS-Server, deen ersat gëtt. Eng funktionéierend Ufro ass och keen Test op Leck, well d'Land vum Ausgang dir näischt seet iwwer dee wéi en Aufléiser geäntwert huet.