Falschen DNS-Server a Windows VPN: Metrik, Bindungsuerdnung oder Suffix

E Windows-Client kann eng funktionéierend Tunnel hunn, de Firmen-Resolwer droen an trotzdem intern Nimm un den Heemrouter schécken. Dräi verschidde Mechanisme entscheeden, wéi ee Server äntwert, an si versoe sech op verschidde Weeër. Dir musst net all dräi reparéieren: de Symptom seet Iech, wéi en am Spill ass. De Behaftungsbeem hei drënner dauert e puer Minutten a verhënnert dat üblecht Resultat, wou eng Metrikännerung, eng Ëmuerdnung am Regëster an eng NRPT-Reeg zesummen ukommen an et kee weess, wéi eng dovun eppes gemaach huet.

Dräi Mechanisme entscheeden, an normalerweis ass een falsch

D'Interfacemetrik ordert Adaptere fir eng bestëmmt Adressfamill. D'Bindungsuerdnung ënner Tcpip\Linkage ass eng maschinnwäit Lëscht vun Interface-Identifikatoren, déi eeler Codeweeër nach consultéieren. Den Nummopléisungs-Politikstabell (NRPT) bënnt en Nummraum u bestëmmte Serveren, an d'Suffixlëscht entscheet, ob en kuerzen Numm iwwerhaapt ausgebaut gëtt. Si sinn onofhängeg, an dofir verléiert en richtegen Resolwer um VPN-Adapter géint eng verstoppt Preferenz anzwousch anescht.

Keen vun dëse Mechanisme ass déi aner Säit vum Tunnel. Wann de Server, deen d'VPN dréckt, den Numm net opléise kann, ass all Astellung op der Client-Säit just Dekoratioun, sou datt déi éischt Entscheedung ass, ob de Resolwer selwer äntwere kann, wann een en direkt freet.

Entscheedung eent: Kann de gedréckte Resolwer iwwerhaapt äntweren?

Frot de Server explizit a vergläich dat mat enger gewéinlecher Sich. Den Ënnerscheed tëscht den Äntwerten trennt e Auswielproblem vun engem Erreechbarkeetsproblem, an dat ass hei déi séierste Verzweigung:

Resolve-DnsName intranet.corp.example -Server 10.20.0.10 -Type A
Resolve-DnsName intranet.corp.example -Type A

Wann dat éischt geléngt an dat zweet versuergt, ass de Resolwer erreechbar an Windows wielt schlecht; gitt op d'Entscheedungen iwwer Nummraum an Uerdnung hei drënner. Wann dat éischt och versuergt, hëlleft näischt um Client: préift, ob UDP an TCP 53 de Server duerch den Tunnel erreechen, ob keng Host-Firewall um Server de Pool fale léisst, an ob dem Server seng eege Weiderleeder gesond sinn.

Stoppt op dëser Verzweigung. Eng NRPT-Reeg op e Resolwer unzewenden, deen Dir net erreeche kënnt, produzéiert dee selwechte Feeler mat méi Konfiguratioun fir zréckzehuelen, an et verstoppt de richtegen Defekt hannert enger Reeg, déi autoritär ausgesäit.

Entscheedung zwee: een Nummraum oder all Ufro?

D'Spannwäit entscheet d'Instrument. Wann nëmmen d'Firmennimm versoen, bënnt den Nummraum amplaz d'Maschinn ëmzeuerdnen: eng NRPT-Reeg schéckt dee Suffix un den Tunnel-Resolwer an léisst alles anescht a rou. Wann all Sich betraff ass, ass de Problem eng global Adapterpreferenz, an d'Metrik ass de Punkt fir unzefänken, well se keng Serverastellung ännert.

Setzt d'Metrik pro Adressfamill, op béide Schnëttstellen, a bestätegt duerno d'Uerdnung:

Get-NetIPInterface | Select-Object ifIndex, InterfaceAlias, AddressFamily, InterfaceMetric
Set-NetIPInterface -InterfaceIndex 11 -InterfaceMetric 1 -AddressFamily IPv4
Set-NetIPInterface -InterfaceIndex 11 -InterfaceMetric 1 -AddressFamily IPv6

Ersetzt 11 duerch den ifIndex vum Tunneladapter aus der Linn hei uewen; wann 11 den LAN-Adapter ass, senkt dee selwechte Befehl de falsche Wee. Den LAN-Adapter amplaz ze hiewen erreecht déiselwecht Uerdnung vun der anerer Säit: netsh int ip set interface interface="Ethernet" metric=15, an netsh int ipv6 set interface interface="Ethernet" metric=15 fir déi zweet Famill, well int ip just IPv4 beréiert.

D'Bindungsuerdnung ass de leschte Mëttel a net den éischte Schrëtt. HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Linkage hält eng Bind-Lëscht vun Apparat-Identifikatoren, an den Tunnel-Identifikator no vir ze réckelen ännert wierklech, wéi en Adapter éischt gefrot gëtt, awer et ass eng maschinnwäit Regësterwäert ouni Spannwäit pro Nummraum. Exportéiert se virum Änneren an verbënnt den Tunnel duerno erëm, sou datt d'Uerdnung an deem Zoustand gëllt, deen de Client erwaart.

Fir een eenzegen Nummraum, préifert dat méi schmuel Instrument:

Add-DnsClientNrptRule -Namespace ".corp.example" -NameServers 10.20.0.10
Get-DnsClientNrptRule | Select-Object Namespace, NameServers

Entscheedung dräi: Iwwerlieft de Fix eng Neiverbindung?

Eng Metrik, déi bis zur nächster Einwielverbindung funktionéiert, gouf ni gespäichert. L2TP/IPsec an aner Verbindungsprofiler ginn nei erstallt, wann d'Verbindung ufänkt, dofir liewt de gespäicherte Wäert am Telefonsbuch-Andrag als IpInterfaceMetric, net nëmmen op der lieweger Schnëttstell. Verschidden Ëmfeldër skripten dee Feld genee dofir; anerer drécken d'Preferenz aus enger Verwaltungspolitik a loossen den Endpunkt a rou.

Cache a Registrierung sinn eng getrennte Schicht. Dës no hirem Opstig vum Tunnel auszeféieren reparéiert veralteg Andräg a registréiert de Client nei, awer keng vun deenen zwee ordert en Adapter ëm:

ipconfig /registerdns
ipconfig /flushdns

An der selwechter Schicht gëtt et en Ausschalter. D'dynamesch Registrierung um kierperlechen Adapter auszeschalten hält de Client dovun of, seng Adress op der VPN-Säit ënner dem falschen Numm unzekënnegen, an dat ass eng aner Reparatur wéi d'Aktualiséierung hei uewen.

IPv6 verdéngt seng eege Linn an der Entscheedung. Wann de kierperlechen Adapter eng global IPv6-Adress huet, wärend den Tunnel just IPv4 dréit, kann Windows fir d'Nummopléisung de Wee ouni Tunnel préféréieren. Préift déi Famill getrennt, well eng Metrik, déi fir IPv4 gesat gouf, seet näischt iwwer se:

Get-NetIPInterface -AddressFamily IPv6 | Select-Object ifIndex, InterfaceAlias, InterfaceMetric

IPv6 um LAN-Adapter ofzeschalten eliminéiert dee Wee an de Protokoll mat him; eng Metrikännerung op der IPv6-Schnëttstell, oder eng NRPT-Reeg fir de Firmennummraum, behält d'Famill a reparéiert d'Preferenz. Wielt déi méi schmuel, ausser Dir hutt entscheet, datt dee Link keen IPv6 soll hunn.

Verifizéiert mat benennter Quell, a behält een Proprietär

Verifizéiert mat Instrumenter, déi mellen, wéi eng Quell gëllt, net just ob eng Säit lued:

ipconfig /all
Get-DnsClientServerAddress -AddressFamily IPv4
Resolve-DnsName fileserver.corp.example -Server 10.20.0.10 -Type A

Trennt dann d'Filteren vun der Auswiel, well aus enger Applikatioun eraus gesi se identesch aus. OpenVPN seng block-outside-dns blockéiert de Port 53 op den aneren Adapteren; et wielt kee Resolwer. Wann elo all Ufro versuergt, blockéiert vläicht e Filter deen eenzegen erreechbare Server; wann de konfiguréierte Resolwer ignoréiert gëtt, ass d'Uerdnung oder d'Nummraumreegel falsch. Béides gläichzäiteg z'änneren mécht eng blockéiert Ufro an eng ignoréiert Ufro onënnerscheedbar.

Behält een Proprietär fir d'DNS-Politik: de VPN-Profil, eng Verwaltungspolitik oder eng NRPT-Reeg, net zwee dovun. Ier Dir et ofschléisst:

• De gedréckte Resolwer äntwert, wann en explizit benannt gëtt, an eng gewéinlech Sich benotzt en.
• D'Reeg oder d'Metrik, déi Dir geännert hutt, deckt déi Adressfamill of, déi d'Ufroe wierklech dréit.
• D'Astellung iwwerlieft eng Trennung an Neiverbindung, oder Dir hutt se an de gespäicherte Profil geréckelt.
• Genee ee Mechanismus ass autoritär, an déi aner goufen gelooss, wéi se waren.

Behandelt d'Uerdnung als Ëmfeldzoustand an net als eppes, wat een ofschléisst. Iwwerpréift se no enger Neiverbindung an no engem Windows-Update, deen de Netzwierkstack beréiert, well béides kann de kierperlechen Adapter erëm no vir bréngen.