Windows-VPN-DNS-Leak: firwat d’Metrik d’Route gewënnt

Eng Ufro verléisst de Rechner an erreecht de Router doheem, wärend all Paket duerch den Tunnel geet. Déi natierlech Conclusioun ass eng feelend Route, an d’Route ass meeschtens an der Uerdnung. Windows ka mat der Interface-Metrik wielen, wéi en Interface säi Resolver gefrot gëtt, an en Tunneladapter verléiert dëse Verglach dacks géint dee kabellosen.

Zwou Erklärungen fir eng Lee

D’Route-Erklärung seet, datt en Deel vum Verkéier aus dem Tunnel entkommt, also muss d’Standardroute oder d’Lëscht vum gedeelten Tunnel falsch sinn. Déi Erklärung kann ee mat engem eenzegen Uerder testen, a wann d’Standardroute an den Tunnel weist, ass et erleedegt. Kontrolléiert se fir d’éischt, well se bëlleg ass, a setzt se duerno op d’Säit, wann se propper zréckkënnt.

D’Rang-Erklärung seet, datt de Verkéier komplett am Tunnel ass an d’Ufro trotzdeem un en anere Resolver geschéckt gëtt. Windows behandelt d’Wiel vum Resolver als eng Eegenschaft pro Interface mat enger Uerdnung, also kann en physeschen Adapter mat enger besserer Metrik DNS fir en Numm liwweren, och wann d’Pakete fir déi opgeléist Adress duerch den Tunnel ginn. Béid Erklärunge ginn dee selwechte Symptom op enger Leak-Testsäit, dofir ass den Test net d’Diagnos. Nëmmen eng vun hinnen ass duerch d’Änneren vun Route reparabel.

Vergläicht Metriken an Resolver zesummen

Notéiert d’Interfacen, hir Metriken an hir konfiguréiert Serveren, wärend den Tunnel op ass. Liest se als Tabell an net als zwou getrennte Lëschten, well d’Fro ass, wéi en Resolver fir d’éischt kënnt, net wéi eng Resolveren et gëtt.

Get-NetIPInterface -AddressFamily IPv4 | Sort-Object InterfaceMetric | Select-Object InterfaceIndex, InterfaceAlias, InterfaceMetric
Get-DnsClientServerAddress -AddressFamily IPv4 | Select-Object InterfaceAlias, ServerAddresses

Wann den Tunneladapter eng méi héich Zuel huet wéi den physeschen Adapter, ass säi Resolver net favoriséiert, an en internen Numm geet dohinner, wat déi physesch Säit ubitt. Dee Router kann aus dem Cache äntweren, d’Ufro weiderleeden oder se refuséieren, an keen vun deenen Ausgäng ass dat Design, dat Dir gemengt hutt. Den Rang ass eng Preferenz, also verléiert en duuss, amplaz e Feeler ze werfen.

En Tunneladapter ouni iwwerhaapt konfiguréierte Resolver ass eng grad esou heefeg Variant. De Client hieft den Interface, ouni DNS ze stoussen, dofir stellt sech d’Rangfro guer net.

Setzt den Tunnel méi héich a kontrolléiert nach eng Kéier

Gitt dem Tunnel-Interface déi niddregst Metrik, oder erhéicht de Wäert vum physeschen Adapter, an enger Shell mat erhéiten Rechter. Béid sinn Astellungen pro Interface a béid sinn ëmdréibar, wat zielt, wann Dir eng Maschinn ännert, virun där Dir vläicht net sëtzt.

Set-NetIPInterface -InterfaceIndex 27 -InterfaceMetric 1
Get-NetIPInterface -AddressFamily IPv4 | Sort-Object InterfaceMetric

D’Ännerung ass direkt ze gesinn, an den DNS-Client an aner Konsumente späicheren d’Wiel, déi se schonn gemaach hunn. Verbënnt den Tunnel nei, oder startet nei, ier Dir eppes an en Ufroresultat eralest. En Test, deen ze fréi leeft, widderhëlt dat aalt Verhalen a gesäit aus wéi eng gescheitert Reparatur.

Frot duerno en internen an en ëffentlechen Numm a kontrolléiert, wéi e Server geäntwert huet. D’Referenz iwwer automatesch Metriken vum Microsoft erklärt, firwat dee niddregste Wäert favoriséiert gëtt a wéi d’automatesch Zouweisung ofgeleet gëtt.

Maacht et iwwer eng Reconnectioun haltbar

Eng manuell Metrik op engem Adapter, dee bei all Verbindung nei erstallt gëtt, ass eng Astellung, déi verschwënnt. Wann de Client den Interface nei baut, brauch d’Iwwerschreiwung e Skript no der Verbindung, eng Politik oder eng Client-Konfiguratioun, déi den DNS huet, soulaang d’Verbindung besteet.

Staatesch konfiguréiert Serveren um physeschen Adapter hunn dee selwechte Haltbarkeetsproblem ëmgedréit. Si äntweren nach fir deen Interface, bis se ewechgeholl ginn, an den DHCP füllt se aus dem nächste Lease erëm op, also ass hiren Ewechhuelen eng Miessung an net en Design. Dat haltbar Design ass eng Politik fir d’Nummopléisung fir den internen Nummraum, oder e Client, deen den DNS fir d’Dauer vun der Verbindung iwwerhëlt. Wéi och ëmmer, notéiert d’Resolverlëscht virun an no enger Reconnectioun, setzt déi ursprénglech Metrik zeréck, wann Dir fäerdeg sidd mat testen, a bestätegt, datt dat fréiert Verhalen zréckkomm ass.