Kodėl Windows siunčia jūsų VPN pavadinimus į DNS serverį, kurio niekada nenustatėte

Nustatote DNS serverį VPN adapteryje, prisijungiate iš naujo, o privatus vardas vis tiek grįžta iš biuro sprendėjo, kurio šiame nešiojamajame kompiuteryje niekas nesukonfigūravo. Rezultatas atrodo taip, lyg nustatymas būtų ignoruotas, ir tam tikra prasme taip ir buvo, nes adapterių sąrašas yra kandidatų rinkinys, o ne sprendimas. Windows sprendžia vardus pagal vardų erdvės politiką, kuri konkrečiam galūnei gali priskirti kitą serverį, ir ši politika taikoma anksčiau, nei atsižvelgiama į adapterio nustatymą. Rasti laimėjusią taisyklę yra penkių minučių darbas, kai žinote, kurią lentelę skaityti.

Ką pakeitėte ir kas iš tikrųjų nusprendžia

Adapterio DNS adresas klientui nurodo, kur ta sąsaja galėtų siųsti užklausas. Vardų sprendimo politikos lentelė klientui nurodo, kur jis privalo siųsti užklausas tam tikrai vardų erdvei, ir ji vertinama pagal vardą, o ne pagal adapterį. Kai taisyklė atitinka įvestą galūnę, naudojami tos taisyklės serveriai ir adapterių sąrašas nustoja turėti reikšmės tai paieškai.

Štai kodėl du vardai tame pačiame nešiojamajame kompiuteryje tuo pačiu metu gali eiti skirtingais keliais. Serveris pagal įmonės galūnę laikosi savo taisyklės; viešas vardas eina numatytuoju keliu, o tai paprastai reiškia adapterį, kuris atsako pirmas.

Kaip lentelė suderina vardą

Taisyklės suskirstytos pagal vardų erdvę, ir laimi tiksliausias atitikimas. Taisyklė corp.example taikoma vpn.corp.example ir netaikoma example.net. Taisyklė su vardų erdve . apima viską, ko neapima kitos taisyklės, todėl ji tampa pavojingiausiu sąrašo įrašu ir tuo, kurį verta patikrinti, kai nesusijusi svetainė sprendžiama per tunelį.

Taisyklė taip pat gali turėti komentarą, įrašą išjungiančią politiką ir saugumo nustatymus, kurie neturi nieko bendra su DNS adresais. Išjungta taisyklė lieka matoma konfigūracijoje, bet neveikia, todėl popieriuje teisingai atrodantis įrašas po profilio pakeitimo gali likti neveiksmingas.

Skaitykite veikiančią lentelę, o ne norų sąrašą

Sukonfigūruotos taisyklės ir veikiančios taisyklės yra du skirtingi klausimai. Get-DnsClientNrptRule išvardija, kas yra mašinoje. Get-DnsClientNrptPolicy -Effective rodo, ką klientas iš tikrųjų taikys, su reikšmėmis, sujungtomis iš politikos ir vietinių nustatymų.

Palyginkite tos išvesties galūnę su vardu, kurį bandote, po ženklą. Taisyklė corp.example nepagauna vardo, kuris baigiasi corp.example.com, ir taškas gale vienoje vietoje ir jo nebuvimas kitoje yra pakankamas atitikimui pakeisti.

Be taisyklės Windows klausia daugiau nei vieno adapterio

Kai niekas lentelėje nepretenduoja į vardą, klientas gali siųsti užklausą per kelias sąsajas ir paimti pirmą atėjusį atsakymą. Rezultatas priklauso nuo laiko: tas pats vardas pirmadienį gali būti išspręstas iš laidinio adapterio, o antradienį iš tunelio, ir niekas nei vieno adapterio konfigūracijoje nepaaiškina skirtumo.

Yra du išeities keliai. Pridėkite taisyklę vardų erdvei, kad sprendimas nustotų būti lenktynėmis, arba išjunkite lygiagretų elgesį per DNS kliento politiką ir sutikite su lėtesniu, deterministiniu sprendimu. Pirmasis paprastai labiau tinka VPN su padalytu tuneliu, nes dokumentuoja ketinimą, o ne pasikliauja tvarka.

Keliai, kurie visiškai apeina sprendėją

Naršyklė su įjungtu saugiu DNS sprendžia pati ir Windows perduoda tik adresą, todėl taisyklių lentelė niekada nemato vardo. Klientai, sukurti aplinkose su savo sprendėju, gali elgtis taip pat. Kai vardas išsprendžiamas vienoje programoje ir nepavyksta kitoje toje pačioje mašinoje, palyginkite du sprendimo kelius prieš liesdami politiką.

Taip pat patikrinkite, ar programa jungiasi prie podėlyje esančio ankstesnės sesijos adreso. Clear-DnsClientCache ir tada ta pati paieška duoda švaresnį atsakymą nei spėjimas iš pasenusio rezultato.

Bandykite su vardu, kuris nepavyko

Išspręskite tikslų ataskaitos serverio vardą, o ne viešą greičio testo domeną, ir užrašykite, kuris serveris atsakė. Tada pakeiskite vieną dalyką: taisyklę, adapterių sąrašą ar politikos priskyrimą, ir po prisijungimo iš naujo pakartokite tą pačią paiešką, kad taikoma būsena būtų atkurta.

Jei vardas išsprendžiamas, o paslauga vis tiek atsisako, nustokite redaguoti DNS. Kitas naudingas žingsnis yra adresas ir maršrutas į jį, nes vardų sprendimas jau atliko savo darbą.