Зошто Windows ги праќа вашите VPN имиња на DNS сервер што никогаш не сте го поставиле

Го поставувате DNS серверот на VPN адаптерот, повторно се поврзувате, а приватното име се уште доаѓа од канцеларискиот резолвер што никој не го конфигурирал на овој лаптоп. Резултатот изгледа како поставката да е игнорирана, и во извесна смисла е, бидејќи листата на адаптери е множество кандидати, а не одлука. Windows ги решава имињата преку политика за именски простор што може да назначи друг сервер за одреден суфикс, и таа политика се применува пред поставката на адаптерот да биде земена предвид. Наоѓањето на правилото што победило е работа од пет минути кога знаете која табела да ја читате.

Што сменивте и што всушност одлучува

DNS адресата на адаптерот му кажува на клиентот каде тој интерфејс би можел да праќа барања. Табелата со политика за разрешување имиња му кажува на клиентот каде мора да праќа барања за даден именски простор, и се оценува по име, а не по адаптер. Кога правило се совпаѓа со суфиксот што сте го внеле, се користат серверите на правилото и листата на адаптери престанува да биде важна за тоа пребарување.

Затоа две имиња на истиот лаптоп можат во истиот миг да тргнат по различни патишта. Домаќин под корпоративниот суфикс го следи своето правило; јавното име го следи стандардното патиште, што обично значи адаптерот што одговара прв.

Како табелата совпаѓа име

Правилата се клучирани по именски простор, и најконкретното совпаѓање победува. Правило за corp.example се применува на vpn.corp.example и не се применува на example.net. Правило со именски простор . покрива се што другите правила не покриваат, што го прави најопасниот запис на листата и оној што вреди да се провери кога некоја неповрзана страница се разрешува низ тунелот.

Правилото може да носи и коментар, политика што записот го оневозможува, и безбедносни поставки што немаат врска со DNS адреси. Оневозможеното правило останува видливо во конфигурацијата без дејство, па запис што на хартија изгледа исправно може да остане неактивен по промена на профилот.

Читајте ја делотворната табела, не листата на желби

Конфигурираните правила и делотворните правила се две различни прашања. Get-DnsClientNrptRule наведува што постои на машината. Get-DnsClientNrptPolicy -Effective покажува што клиентот навистина ќе примени, со вредности споени од политиката и локалните поставки.

Споредете го суфиксот во тој излез со името што го тестирате, знак по знак. Правило за corp.example не фаќа име што завршува на corp.example.com, и точка на крајот на едно место, а не на другото, е доволна да го смени совпаѓањето.

Без правило Windows прашува повеќе од еден адаптер

Кога ништо во табелата не го бара името, клиентот може да го испрати барањето низ неколку интерфејси и да го земе првиот одговор што ќе пристигне. Резултатот зависи од времето: истото име може да се разреши од жичениот адаптер во понеделник и од тунелот во вторник, и ништо во конфигурацијата на ниту еден адаптер не ја објаснува разликата.

Постојат два излези. Додајте правило за именскиот простор за одлуката да престане да биде трка, или исклучете го паралелното однесување преку политиката на DNS клиентот и прифатете го побавното, детерминистичко разрешување. Првото обично подобро одговара на VPN со разделен тунел, бидејќи ја документира намерата наместо да се потпира на редоследот.

Патишта што целосно го заобиколуваат резолверот

Прелистувач со вклучен безбеден DNS разрешува сам и на Windows му ја дава само адресата, па табелата со правила никогаш не го гледа името. Клиенти изградени на средини со сопствен резолвер можат да се однесуваат исто. Кога име се разрешува во една апликација, а не успева во друга на истата машина, споредете ги двата патишта на разрешување пред да ја допрете политиката.

Проверете и дали апликацијата се поврзува со кеширана адреса од претходна сесија. Clear-DnsClientCache и потоа истото пребарување дава почист одговор отколку заклучување од застарен резултат.

Тестирајте со името што не успеа

Разрешете го точното име на домаќин од извештајот, не јавен домен за тестирање брзина, и забележете кој сервер одговори. Потоа сменете една работа: правилото, листата на адаптери или доделувањето на политика, и по повторното поврзување повторете го истото пребарување за да се изгради одново применетата состојба.

Ако името се разреши, а услугата се уште одбива, престанете да го уредувате DNS. Следниот корисен чекор е адресата и патеката до неа, бидејќи разрешувањето имиња веќе ја завршило својата работа.