Kas iš tikrųjų taiko OpenConnect DNS nustatymus Windows sistemoje?
Windows saugo sprendiklio būseną trijose vietose. Raskite pagalbininką, kuriam priklauso ryšys, prieš rankiniu būdu redaguodami adapterio DNS ar pridėdami vardų erdvės taisyklę.
Tunelio iškėlimas nėra tas pats, kas jo DNS reikšmių įdiegimas. OpenConnect derasi, o Windows pusės pagalbininkas taiko. Tarpas tarp šių dviejų veiksmų paaiškina daugumą privačių vardų gedimų šiame kliente, o pagalbininkas beveik niekada nėra Windows VPN nustatymų puslapis.
Atskirkite, ką pasiūlė šliuzas, nuo to, ką įdiegė Windows
Klientas perduoda ryšio duomenis scenarijaus sąsajai, o Unix ir Windows variantai yra atskiros programos. Windows sistemoje įgyvendinimas paprastai yra JavaScript pagalbininkas, kuris nuskaito tokius kintamuosius kaip vidinis DNS serveris ir vidinis domenas, prieš paliesdamas bet kurį adapterį. Niekas pačiame tunelyje nerašo sprendiklio būsenos.
Šis atskyrimas svarbus, nes reikšmė gali egzistuoti derybose ir niekada nepasiekti adapterio. Trūkstamas, pusiaukelėje nepavykstantis arba senesnė kopija, įterpta į GUI apvalkalą, palieka Windows lygiai tokius, kokie buvo. Sesija atrodo prisijungusi, privatus vardas vis dar sprendžiamas per vietinį tiekėją, ir niekas kliento lange neužsimena apie skirtumą. Pagalbininko išvesties skaitymas yra vienintelis patikimas būdas sužinoti, kuri pakopa sugedo.
| Stage | What exists there | Where you see it |
|---|---|---|
| Negotiated | Internal DNS address and domain pushed by the gateway | Client log or helper input |
| Installed | Adapter DNS entry, connection suffix, or namespace rule | Adapter and policy queries |
| Selected | Resolver Windows uses for one specific query | The failing application |
GUI apvalkalas gali pateikti savo kliento ir pagalbininko kopiją, todėl antras openconnect.exe kitur diske nieko neįrodo. Raskite vykdomąjį failą, kuris pradėjo sesiją, prieš vertindami jo konfigūraciją.
Perskaitykite sprendiklio būseną jos nekeisdami
Trys tik skaitymo užklausos apima įprastą sumaištį, ir kiekviena atsako į kitą klausimą:
Get-DnsClientServerAddress -AddressFamily IPv4
Get-DnsClient | Select-Object InterfaceAlias, ConnectionSpecificSuffix
Get-DnsClientNrptPolicy -EffectiveAdapterio lygio serveris yra tai, ką dauguma žmonių supranta kaip VPN DNS. Su ryšiu susijusi priesaga nusprendžia, ar trumpas vardas apskritai bus išplėstas. Vardų erdvės strategijų sąrašas taikomas atitinkantiems vardams neatsižvelgiant į adapterių tvarką, ir tuščias rezultatas ten nėra defektas, kai pagalbininkas niekada neketino jo sukurti. Visų trijų skaitymas prieš redaguojant yra tai, kas apsaugo nuo taisymo, kuris tik perkelia simptomą kitur.
Pradėkite nuo visiškai kvalifikuoto vardo. Jei FQDN išsprendžiamas, o trumpas vardas ne, spraga yra priesaga arba paieškos sąrašas, o ne serverio adresas.
Kaip antrą žingsnį tiesiogiai užklauskite numatytą serverį bet kokiu jau įdiegtu sprendiklio įrankiu. Tiesioginis atsakymas įrodo, kad serveris pasiekiamas ir turi zonos įgaliojimus. Jis nieko neįrodo apie tai, kurio serverio programa klausia pagal nutylėjimą.
Įvardykite komponentą, kuriam priklauso ryšys
Įprasti du išdėstymai. Iš terminalo paleistas klientas aiškiai perduoda savo scenarijaus kelią, todėl savininkas matomas vykdytoje komandoje. Supakuota programa paleidžia klientą už jus ir laiko pagalbininką savo kataloge, o tai reiškia, kad tiekėjas sprendžia, kada jis pasikeis.
Prieš ką nors keisdami palyginkite pagalbininko versijas tarp diegimų. Pagalbininko, atsisiųsto iš veidrodžio, paleidimas su padidintomis teisėmis vien todėl, kad failo pavadinimas atrodo pažįstamas, DNS spragą paverčia saugumo incidentu.
Kai savininkas žinomas, taisymo tikslas tampa akivaizdus: palaikomas scenarijaus kelias paleidiklyje, paketo naujinimas arba pataisytas profilis šliuze. Nė vienas iš jų nereikalauja rankiniu būdu redaguoti adapterio savybių.
Taisykite savininką, o ne adapterį
Rankiniu būdu nustatytas adapterio DNS dažnai išlieka po atsijungimo, todėl atrodo, kad veikia, o paskui sukelia problemų kitame tinkle. Viešas sprendiklis, pritvirtintas prie kiekvienos sąsajos, paslepia privačios vardų erdvės problemą, o ne ją išsprendžia. Kai pagalbininkas niekada negavo DNS reikšmės, šliuzo profilis yra vieta, kur reikia žiūrėti. Kai gavo, o adapteris vis dar rodo seną serverį, pagalbininkas nepavyko jungiantis, ir kliento žurnalas paprastai tai užfiksuoja prie tunelio sąrankos eilučių.
Atkurkite būseną palaikomu keliu, tada patikrinkite visą ciklą: prisijunkite, išspręskite privatų FQDN, atidarykite paslaugą, atsijunkite ir patvirtinkite, kad adapteris grįžo su ankstesniais serveriais.
Patikrinkite programą, kuri iš tikrųjų nepavyksta
Naršyklė su savo šifruoto DNS nustatymu nepaiso visko, kas aukščiau, ir toliau atsako iš viešo sprendiklio. Programa, kuri laiko podėlyje neigiamą atsakymą iš laikų prieš tunelio iškėlimą, elgiasi taip pat. Palyginkite ją su paprasta sistemos užklausa tame pačiame kompiuteryje prieš vėl keisdami sprendiklio adresus.
Jei sistemos užklausa teisinga, o programa neteisinga, likęs defektas yra tos programos DNS konfigūracijoje, o ne VPN kelyje.