VPN bersambung tetapi nama gagal: di mana DNS sebenarnya rosak

Terowong aktif, ikon hijau, dan setiap tab pelayar melaporkan kegagalan penyelesaian nama. Tiga mekanisme berbeza menghasilkan gambaran itu: penyelesai mungkin tidak dapat dicapai, klien mungkin bertanya kepada penyelesai yang anda tidak jangkakan, atau hanya nama peribadi mungkin gagal. Pisahkan ketiga-tiganya sebelum anda menukar apa-apa pada protokol terowong, kerana setiap satu dibaiki di tempat berbeza. Urutan di bawah bermula dengan pemerhatian yang memisahkan ketiga-tiganya.

Apa yang sebenarnya diperlukan oleh carian

Carian memerlukan tiga perkara: alamat penyelesai, laluan ke alamat itu, dan jawapan yang sepadan dengan soalan. Setiap satu boleh gagal sendiri, dan simptom yang kelihatan ialah halaman yang sama yang tidak dimuatkan. Itulah sebabnya halaman ralat hampir tidak memberitahu anda apa-apa sehingga anda tahu mana satu daripada tiga yang rosak.

Klien mempelajari penyelesainya daripada profil VPN, daripada DHCP pada terowong, atau daripada konfigurasinya sendiri, dan sumber mana yang menang bergantung pada platform. Pada Windows, ipconfig /all menyenaraikan pelayan DNS bagi setiap penyesuai, jadi anda boleh melihat sama ada nilai yang dihantar benar-benar tiba. Nilai yang dihantar tetapi tidak pernah sampai ke sistem pengendalian ialah kegagalan senyap yang biasa. Baca nilai yang dikonfigurasikan sebelum menyentuh profil.

Linux dan macOS menjawab soalan yang sama dengan arahan berbeza, dan jawapannya wajar dibaca dengan cara yang sama: resolvectl status dan scutil --dns kedua-duanya menyenaraikan pelayan mengikut antara muka. Bandingkan senarai itu dengan alamat yang didakwa dihantar oleh profil. Ketidakpadanan di sini menerangkan segala-galanya di hilir, jadi selesaikannya sebelum menguji nama.

Uji satu nama awam dan satu nama peribadi

Tanya nama hos awam biasa dan nama hos peribadi yang didokumenkan dari mesin yang sama, dan catat pelayan mana yang menjawab setiap satu. Jika kedua-duanya gagal, penyelesai atau laluannya rosak. Jika hanya nama peribadi gagal, penyelesai telah menjawab dan soalan menjadi zon atau penghalaan. Jalankan kedua-dua pertanyaan dalam tempoh seminit antara satu sama lain supaya perubahan laluan tidak dapat menerangkan perbezaan itu.

Jauhkan nama dalaman daripada tangkapan skrin awam dan daripada penyelesai awam. Tamat masa dan jawapan domain tidak wujud ialah pemerhatian berbeza: yang pertama mengatakan tiada apa yang kembali, yang kedua mengatakan pihak berkuasa menjawab bahawa nama itu tidak wujud. Menganggap kedua-duanya sebagai satu ralat membawa anda ke lapisan yang salah, dan amaran sijil ialah perkara ketiga pula, bukan kegagalan DNS.

nslookup mencetak pelayan yang ditanya dan jawapan yang diterima, dan itulah pasangan yang anda perlukan. Jalankannya dua kali dalam shell yang sama dan tulis alamat yang menjawab di sebelah setiap jawapan.

nslookup example.com
nslookup host.corp.example 10.20.30.53

Sahkan bahawa klien benar-benar boleh mencapai pelayan itu

Penyelesai peribadi yang dihantar oleh profil hanya berguna jika klien dapat mencapainya semasa terowong aktif. Alamat yang kelihatan betul tanpa laluan menghasilkan tamat masa, dan keadaan bersambung terowong tidak berkata apa-apa tentang laluan itu. Pemeriksaan itu ialah carian laluan yang ditujukan kepada penyelesai itu sendiri, bukan kepada titik akhir VPN.

Setiap platform menjawabnya dalam satu baris, dan antara muka yang dinamakan dalam output ialah keseluruhan jawapan. Jika ia menunjuk ke penyesuai fizikal sedangkan penyelesai berada di belakang terowong, profil tidak menghantar awalan yang meliputinya.

ip route get 10.20.30.53                      # Linux
route -n get 10.20.30.53                     # macOS
Find-NetRoute -RemoteIPAddress 10.20.30.53   # Windows PowerShell

Pada profil terowong berpecah, penyelesai boleh berada di luar laluan yang dihantar, yang merupakan masalah profil dan bukan masalah pelayan. Bandingkan alamat penyelesai dengan awalan yang dihantar dan sahkan bahawa salah satunya meliputinya. Ketidakpadanan yang sama menerangkan mengapa DNS berfungsi pada satu rangkaian dan gagal pada rangkaian lain dengan profil yang serupa.

Ingat bahawa pelayar boleh memintas penyelesai sistem

Pelayar dengan DNS selamat diaktifkan boleh menghantar pertanyaan melalui HTTPS kepada pembekal pilihannya sendiri dan mengabaikan penyelesai sistem pengendalian sepenuhnya. Sistem kemudian kelihatan betul sedangkan pelayar gagal, atau sebaliknya. Itu soalan dasar untuk pelayar, bukan untuk terowong.

Periksa tetapan DNS selamat pelayar dan mana-mana dasar terurus yang mengawalnya, kemudian cuba aplikasi atau pelayar kedua dengan terowong tidak berubah. Jika hanya satu aplikasi gagal, pembetulan itu milik aplikasi tersebut. Tetingkap peribadi bukan perbandingan bersih, kerana ia mungkin melumpuhkan sambungan secara lalai dalam satu pelayar dan tidak dalam pelayar lain, dan ia tidak pernah memintas dasar terurus. Gunakan profil pelayar kedua atau aplikasi lain sebaliknya.

Kosongkan cache dan uji semula tugas sebenar

Selepas membetulkan tetapan, kosongkan cache penyelesai setempat supaya jawapan lama tidak bertahan melebihi pembetulan. Pemulihan singkat diikuti kegagalan lain bermakna puncanya masih ada, bukan bahawa pengosongan itu gagal. Pilih baris yang sepadan dengan mesin yang anda gunakan, kerana ketiga-tiga cache adalah berasingan.

ipconfig /flushdns                 # Windows
resolvectl flush-caches            # Linux
sudo killall -HUP mDNSResponder    # macOS

Kemudian ulangi tugas asal dan bukan carian sintetik, kerana tugas itulah yang penting kepada pengguna. Sambung semula sekali juga, supaya ujian semula meliputi keadaan yang benar-benar akan dialami pengguna. Rujukan nslookup Microsoft ialah halaman yang patut disimpan untuk hujah pertanyaan.

Jika nama gagal hanya selepas memutuskan sambungan, klien tidak memulihkan konfigurasi sebelumnya, yang merupakan pepijat kitaran hayat untuk dilaporkan, bukan pelayan DNS untuk diganti. Carian yang berfungsi juga bukan ujian kebocoran, kerana negara keluar tidak memberitahu anda penyelesai mana yang menjawab.