Kāpēc Windows sūta jūsu VPN nosaukumus uz DNS serveri, kuru jūs nekad neesat iestatījis

Jūs iestatāt DNS serveri VPN adapterī, atkārtoti pievienojaties, un privātais nosaukums joprojām nāk no biroja atrisinātāja, kuru šajā portatīvajā datorā neviens nav konfigurējis. Rezultāts izskatās tā, it kā iestatījums būtu ignorēts, un zināmā mērā tā arī bija, jo adapteru saraksts ir kandidātu kopa, nevis lēmums. Windows atrisina nosaukumus, izmantojot nosaukumvietas politiku, kas konkrētam sufiksam var norādīt citu serveri, un šī politika tiek piemērota pirms adaptera iestatījuma apsvēršanas. Uzvarējušā noteikuma atrašana ir piecu minūšu darbs, kad zināt, kuru tabulu lasīt.

Ko jūs mainījāt un kas patiesībā izlemj

DNS adrese adapterī klientam norāda, kur šis interfeiss varētu sūtīt vaicājumus. Nosaukumu atrisināšanas politikas tabula klientam norāda, kur tam ir jāsūta vaicājumi konkrētai nosaukumvietai, un tā tiek vērtēta pēc nosaukuma, nevis pēc adaptera. Kad noteikums atbilst ievadītajam sufiksam, tiek izmantoti šī noteikuma serveri un adapteru saraksts vairs nav svarīgs šim meklējumam.

Tāpēc divi nosaukumi vienā portatīvajā datorā vienā mirklī var iet dažādus ceļus. Resursdators zem uzņēmuma sufiksa seko savam noteikumam; publisks nosaukums seko noklusējuma ceļam, kas parasti nozīmē to adapteri, kas atbild pirmais.

Kā tabula saskaņo nosaukumu

Noteikumi ir indeksēti pēc nosaukumvietas, un uzvar visprecīzākā atbilstība. Noteikums corp.example attiecas uz vpn.corp.example un neattiecas uz example.net. Noteikums ar nosaukumvietu . aptver visu, ko neaptver citi noteikumi, kas to padara par bīstamāko ierakstu sarakstā un to, ko ir vērts pārbaudīt, kad nesaistīta vietne tiek atrisināta caur tuneli.

Noteikumam var būt arī komentārs, politika, kas ierakstu atspējo, un drošības iestatījumi, kuriem nav nekāda sakara ar DNS adresēm. Atspējots noteikums paliek redzams konfigurācijā bez ietekmes, tāpēc ieraksts, kas uz papīra izskatās pareizs, pēc profila maiņas var palikt nedarbojošs.

Lasiet spēkā esošo tabulu, nevis vēlmju sarakstu

Konfigurētie noteikumi un spēkā esošie noteikumi ir divi dažādi jautājumi. Get-DnsClientNrptRule uzskaita, kas mašīnā pastāv. Get-DnsClientNrptPolicy -Effective parāda, ko klients faktiski piemēros, ar vērtībām, kas apvienotas no politikas un vietējiem iestatījumiem.

Salīdziniet šīs izvades sufiksu ar nosaukumu, ko pārbaudāt, pa rakstam. Noteikums corp.example neuztver nosaukumu, kas beidzas ar corp.example.com, un punkts beigās vienā vietā un tā trūkums citā ir pietiekami, lai mainītu atbilstību.

Bez noteikuma Windows jautā vairāk nekā vienam adapterim

Kad nekas tabulā nepretendē uz nosaukumu, klients var nosūtīt vaicājumu pa vairākiem interfeisiem un paņemt pirmo pienākošo atbildi. Rezultāts ir atkarīgs no laika: viens un tas pats nosaukums pirmdien var tikt atrisināts no vada adaptera un otrdien no tuneļa, un nekas neviena adaptera konfigurācijā neizskaidro atšķirību.

Ir divas izejas. Pievienojiet noteikumu nosaukumvietai, lai lēmums pārstātu būt sacensība, vai izslēdziet paralēlo uzvedību ar DNS klienta politiku un pieņemiet lēnāku, deterministisku atrisināšanu. Pirmais parasti labāk piemērots VPN ar sadalītu tuneli, jo dokumentē nolūku, nevis paļaujas uz secību.

Ceļi, kas pilnībā apiet atrisinātāju

Pārlūks ar iespējotu drošo DNS atrisina pats un Windows nodod tikai adresi, tāpēc noteikumu tabula nosaukumu nekad neredz. Klienti, kas veidoti vidēs ar savu atrisinātāju, var uzvesties tāpat. Kad nosaukums tiek atrisināts vienā lietojumprogrammā un neizdodas citā tajā pašā mašīnā, salīdziniet abus atrisināšanas ceļus pirms politikas aizskaršanas.

Pārbaudiet arī, vai lietotne piesakās kešatmiņā saglabātai iepriekšējās sesijas adresei. Clear-DnsClientCache un pēc tam tas pats meklējums dod tīrāku atbildi nekā spriešana no novecojuša rezultāta.

Pārbaudiet ar nosaukumu, kas neizdevās

Atrisiniet precīzu resursdatora nosaukumu no pārskata, nevis publisku ātruma testa domēnu, un pierakstiet, kurš serveris atbildēja. Pēc tam mainiet vienu lietu: noteikumu, adapteru sarakstu vai politikas piešķīrumu, un pēc atkārtotas pievienošanās atkārtojiet to pašu meklējumu, lai piemērotais stāvoklis tiktu izveidots no jauna.

Ja nosaukums tiek atrisināts un pakalpojums joprojām atsakās, pārtrauciet rediģēt DNS. Nākamais lietderīgais solis ir adrese un maršruts uz to, jo nosaukumu atrisināšana jau ir izdarījusi savu darbu.