Таны хуваагдсан туннель апп-д хүрдэг ч түүний DNS серверт хүрэхгүй
Хуваагдсан туннель нь аппын дэд сүлжээг чиглүүлж, хажууд байгаа шийдэгчийг орхиж болно. Хост маршрутыг нэмээд, дараа нь Windows яг аль серверийг сонгодогийг шалгана уу.
Аппын дэд сүлжээг чиглүүлэх нь хуваагдсан туннелийн ил тод хэсэг бөгөөд энэ нь бүх ажил биш. Шийдэгч нь өөрөө үйлчилдэг аппаас өөр хаяг дээр суух нь элбэг, тиймээс ажиллаж буй туннель хайлтыг гадна нь үлдээж болно. 10.80.0.0/16-г л зөөдөг профайл 10.90.0.53-ийн асуулгыг локал интерфэйсээр илгээдэг бөгөөд тэнд хувийн бүс байхгүй. Шийдэгчийн замыг нэмээд, дараа нь асуудлын хоёрдугаар хагасыг харна уу: клиент яг аль серверийг сонгодог.
Домог: нэг маршрут бүх үйлчилгээг хамардаг
Хуваагдсан туннель бол холболтоор дамждаг очих газруудын жагсаалт, үйлчилгээний тодорхойлолт биш. Аппын дэд сүлжээ болон шийдэгчийн хаяг хоёр очих газар бөгөөд профайл нэгийг нөгөөгүйгээр зөөж болно. Ийм болоход апп хаягаар хүрч болох боловч нэр нь бүтэлгүйтдэг нь чиглүүлэлтийн цоорхой гэхээсээ DNS-ийн гэмтэл мэт харагдана.
Шийдэгчийн эргэн тойрон дахь дэд сүлжээ ч автоматаар хамрагдахгүй. Нэг хаяг руу хост маршрут нь тэр шийдэгчид хангалттай бөгөөд хөршүүдийг нь нээхгүй. Хост маршрутын утга нь энэ: зохион байгуулалтаараа нарийн, дараагийн үйлчилгээ ижил дэд сүлжээнд гарч ирэхэд мартахад амар.
Хайлт ажиллахын тулд гурван зүйл биелэх ёстой: клиент шийдэгчийн хаягийг туннелээр чиглүүлнэ, гарц энэ хүсэлтийг хүлээн авч дамжуулна, шийдэгч хүлээн авсан эх сурвалжийг хүлээн авна. Хариулт нь мөн тохирсон замаар буцаж ирэх ёстой. Аль нэг нь байхгүй бол шинж тэмдэг ижил байдаг тул тохиргоонд хүрэхийн өмнө хаягийн хүснэгтийг бичих нь зүйтэй.
Профайл ямар хаягуудыг зөөх ёстойг тодорхойлно уу
Очих газруудыг дарааллаар жагсаана уу: аппын сүлжээ, шийдэгчийн хаяг, туннелийг өөрөө төгсгөдөг нийтийн төгсгөлийн цэг. Гурав дахь нь хэзээ ч туннель дотор чиглүүлэх ёсгүй, учир нь гадаад холболтод туннелээс өмнө байдаг зам хэрэгтэй.
| Destination | Coverage this example needs |
|---|---|
| Application network | 10.80.0.0/16 through the VPN |
| Private resolver | 10.90.0.53/32 through the VPN |
| Public VPN endpoint | Normal internet path, outside the tunnel |
DNS-д UDP болон TCP-г хоёуланг нь оруулна уу, учир нь хэрэгжүүлэлтүүд UDP-ийн хажууд TCP-г ч дэмжинэ гэж хүлээгддэг, хаагдсан TCP зам нь цэвэр биш, удаан, хэсэгчилсэн гэмтэл өгдөг. Хувийн бүсийг IPv6-аар ч үйлчилдэг бол эквивалент хост үл хамаарах зүйл нь IPv6 хаяг, угтвар ашигладаг бөгөөд тусдаа бичлэг юм.
Ямар нэг зүйл нэмэхийн өмнө профайл юуг хамарч байгааг бичнэ үү. Давхардсан маршрут хор хөнөөлгүй, гэхдээ санаанд оромгүй байгаа маршрут нь профайл таны авсан хаягийн төлөвлөгөөнөөс өөр төлөвлөгөөнд зориулагдсаныг хэлнэ.
Хост маршрутыг холболтын эзэмшигчээр нэмнэ үү
Локалаар удирдагддаг төрөлх Windows профайлын хувьд маршрут нь машины глобал чиглүүлэлтийн хүснэгтэд биш, холболтод хамаарна. Эхлээд нэмэлтийг урьдчилан харж, дараа нь профайлын ашигладаг ижил хүрээнд хэрэглэнэ үү.
Add-VpnConnectionRoute -ConnectionName 'Office VPN' -DestinationPrefix '10.90.0.53/32' -WhatIf Get-VpnConnection -Name 'Office VPN' | Select-Object -ExpandProperty Routes
Эхний тушаал юу ч суулгахгүйгээр өөрчлөлтийг урьдчилан харуулж, хоёр дахь нь профайлын одоо зөөж буй маршрутуудыг жагсаана. Microsoft-ийн Add-VpnConnectionRoute-ийн лавлагаа нь хэрэглэгч тус бүрийн болон бүх хэрэглэгчийн хүрээг баримтжуулдаг; бүх хэрэглэгчийн профайлд өөрийн хүрээний параметр хэрэгтэй, бүх хэрэглэгчийн профайлын эсрэг хэрэглэгч тус бүрийн тушаал бүтэлгүйтдэг эсвэл буруу газарт буудаг.
Профайл удирдагддаг эсвэл нийлүүлэгчийн клиентээс ирдэг бол өөрчлөлт нь тэр эзэмшигчид хамаарна. Байнгын системийн маршрутыг холболтын бодлогын дээр овоолох нь бодлого дахин хэрэгжиж, маршрут алга болох хүртэл ажилладаг бөгөөд энэ нь ихэвчлэн туршилтын үеэр биш, дэмжлэгийн дуудлагын үеэр тохиолддог. Тэр гэмтэл чимээгүй: маршрут алга болж, нэр шийдэгдэхээ болиод, хэн ч хоёр үйл явдлыг холбодоггүй. Өөрчлөлтийг эзэмшигчийн өөрийн бүртгэлд хийгээрэй, дараагийн дахин хэрэглэлт үүнийг устгахын оронд зөөнө.
Хэрэглэсний дараа маршрут хүчин төгөлдөр болсон гэж үзэхийн оронд профайлыг дахин холбоно уу. Амьд холболт дээрх маршрутын өөрчлөлтүүд үргэлж хүлээн авагддаггүй, дахин холболт нь таны хэрэглэгчид бодитоор тулгарах төлөвийг ч дахин үүсгэдэг.
Клиент яг аль шийдэгчийг ашигласныг шалгана уу
Маршрут нь шийдэгч рүү хаягласан пакетуудыг удирддаг. Аль нэрийг тийш илгээх ёстойг тэр шийддэггүй, энэ сонголт нь тусдаа механизм. Windows-д үйлчлэх нэрийн орон зайн дүрмүүд домэйн тус бүрээр шийдэгч сонгож болох бөгөөд профайлын DNS тохиргоо анхдагч утгыг өгдөг. Эдгээр хоёр давхарга ямар ч алдаа гаргалгүй зөрж болно, тиймээс шууд асуулга нь нотолгооны тал хувь л юм.
Get-DnsClientNrptPolicy Resolve-DnsName app.svc.example -Server 10.90.0.53 -Type A
Эхний тушаал хүчин төгөлдөр нэрийн орон зайн бодлогыг хэвлэж, хоёр дахь нь хувийн шийдэгчээс аппын нэрийг шууд асууна. Шууд хариулт нь зам болон шийдэгч ажиллаж байгааг нотолно; аппын өөрийн хайлт тэр серверийг сонгосныг нотлохгүй. Үүнийг ижил нэрийн энгийн хайлт болон апп-ын хүлээн авдаг хариулттай харьцуулна уу.
Кэш болон хөтчийн түвшний аюулгүй DNS-ийг бодолцоно уу, энэ нь хэрэглэгчийн бичсэн нэрсийн хувьд системийн шийдэгчийг бүрэн тойрч болно. Хайлтын дагавар нь өөр нэг төөрөгдүүлэх ул мөр: богино нэрийг бүрэн мэргэшсэн нэр болгон өргөжүүлдэг бөгөөд аль сервер хариулахтай ямар ч холбоогүй.
Эцэст нь дахин холбогдож энгийн хайлтыг давтаад, энгийн вэб үзэлт эрх бүхий бодлогоо дагаж байгаа эсэхийг баталгаажуулна уу. Холбоогүй нэрийг шийдэхийн тулд хувийн шийдэгчийг нийтийнхээр солих нь засвар биш бөгөөд хувийн асуулгуудыг хэзээ ч хүрэх ёсгүй газар чимээгүй зөөдөг.