Зошто DNS престанува да работи по поврзувањето на OpenVPN на Windows

Решавачот сѐ уште одговара на ping, а портата 53 не води никаде. Проверете дали block-outside-dns филтрира, потоа обезбедете решавач што тунелот може да го достигне.

Ping до канцеларискиот решавач сѐ уште добива одговор по поврзувањето на "OpenVPN", а секое пребарување на име сепак не успева. Адресата е достапна, а портата не, комбинација што има смисла кога знаете дека Windows може да филтрира DNS по адаптер. Со block-outside-dns во профилот, тој филтер е првиот осомничен, а табелата со рути е погрешно место за гледање. Двата теста подолу ги раздвојуваат слоевите за секунди.

Достапна адреса, мртва порта

Успешен ping докажува дека домаќинот работи и дека постои пат. Тој не кажува ништо за дозволата да се достигне портата 53, бидејќи конкретниот филтер работи на друг слој и зависи од адаптерот. Затоа истата машина може да одговори на ICMP и да го одбие секое барање испратено до истата адреса. Пуштете ги двата теста во иста сесија пред да смените било каква конфигурација.

ping <resolver-ip>
nslookup <name> <resolver-ip>

Тој пар е дијагнозата. Обичниот сообраќај кон подмрежата продолжува да работи додека резолуцијата на имиња умира, и луѓето заклучуваат дека серверот е расипан или дека DNS никогаш не бил испратен. Двете објаснувања се скапи за следење, а доказите укажуваат на нешто потесно. Потврдете го парот пред да допрете поставка.

Оваа опција е правило на филтерската платформа

Референцата на OpenVPN го опишува block-outside-dns како ограничување на Windows Filtering Platform што ги спречува апликациите да достигнат DNS на адаптери надвор од тунелот. Тоа ги покрива TCP и UDP на портата 53. Бидејќи филтерот живее во WFP, а не во вообичаениот список правила на огнениот ѕид, додавањето дозволено правило на друго место не мора да го смени резултатот. Затоа вообичаениот совет да се дозволи DNS продолжува да не успева.

Поставката може да дојде од увезениот профил или од серверот, а датотеката што последна ја уредивте "не е доказ за тоа што го вчитал клиентот". Читајте ја ефективната конфигурација и дневникот за поврзување заедно. Опцијата е и специфична за Windows, а третирањето како пренослива дава совети што не важат.

Барајте ја клиентската компонента што го поседува ограничувањето наместо да додавате повеќе правила. Сопственикот е тоа што навистина може да го отстрани.

Филтерот не е решавач

Блокирање на сообраќај надвор од тунелот не инсталира работен решавач внатре во него. Опцијата отстранува пат и ја остава DNS конфигурацијата на тунелот на тој што го поставил профилот. Профил што никогаш не испратил решавач сега нема ниту еден.

Поминете низ три проверки по ред. Прво, кој решавач навистина го користи апликацијата што не успева. Второ, дали клиентот ги применил поставките за DNS на VPN. Трето, кој интерфејс го носи сообраќајот до тој решавач.

  1. Решавач во употреба: споредете го Resolve-DnsName -Server <resolver-ip> <name> со DNS серверите што ги наведува ipconfig /all.
  2. DNS на VPN применет: прегледајте ги DNS записите на тунелскиот адаптер во истиот излез на ipconfig /all.
  3. Користен интерфејс: Find-NetRoute -RemoteIPAddress <resolver-ip> го именува излезниот интерфејс за таа дестинација.

LAN решавачот станува недостапен по дизајн под оваа политика, дури и додека друг LAN сообраќај работи. Тоа е опцијата што ја работи својата работа. Ако дизајнот бара VPN DNS, поправете ја регистрацијата на решавачот и патот на тунелот; ако е потребен split DNS со локални исклучоци, сопственикот на конфигурацијата мора да ги изрази тие исклучоци на поддржан начин.

Што опцијата не покрива

Портата 53 не е целата резолуција на имиња. DNS over HTTPS и DNS over TLS користат различен транспорт, а некои апликации водат сопствена логика на решавач без оглед на системските поставки. Затоа прелистувачот може да решава имиња додека командната линија не може.

Третирајте ја таа разлика како дијагностика, а не како противречност. Споредете ги двете пред да одлучите дека системскиот решавач е расипан.

Држете го заклучокот тесен кога го запишувате. Оваа опција ограничува еден транспорт на една платформа, а остатокот од патот на решавање е одделно дизајнерско прашање со свој сопственик.

Проверете ја состојбата пред и по исклучувањето

Пуштете го истото пребарување за време на врската и повторно откако клиентот сопственик ќе се исклучи. Првото треба да не успее за надворешен решавач додека тунелот е кренат, а второто треба да успее штом филтерот се отстрани. Ако сѐ уште не успева по исклучувањето, филтерот не е исчистен.

ipconfig /displaydns
nslookup <name> <resolver-ip>

Рестартирање на клиентската услуга или машината обично чисти заостанат филтер. Тоа ја потврдува дијагнозата без да докажува трајно решение. Запишете што сте виделе, бидејќи филтер што преживува исклучување ќе го направи тоа повторно, а записот е тоа што го оправдува извештајот за грешка.

Само по тие проверки има смисла да се замени решавачот или да се изгради повторно политиката на огнениот ѕид. Двете се поголеми промени отколку што доказите поддржуваат.

Поврзани статии