Għaliex id-DNS jieqaf jaħdem wara li OpenVPN jgħaqqad fuq Windows

Ir-resolver għadu jwieġeb fil-ping waqt li l-port 53 ma jwassal imkien. Iċċekkja jekk block-outside-dns hux qed jiffiltra, imbagħad ipprovdi resolver li t-tunnel jista’ jilħaq.

Ping lir-resolver tal-uffiċċju għadu jingħata tweġiba wara li "OpenVPN" jgħaqqad, u xorta kull tfittxija tal-isem t falli. L-indirizz jintlaħaq waqt li l-port ma jintlaħaqx, taħlita li tagħmel sens meta tkun taf li Windows jista’ jiffiltra d-DNS skont l-adapter. B’block-outside-dns fil-profil, dak il-filtru huwa l-ewwel suspett u t-tabella tar-rotot hija l-post żbaljat fejn tħares. Iż-żewġ testijiet hawn taħt jifirdu s-saffi fi ftit sekondi.

Indirizz jintlaħaq, port mejjet

Ping li jirnexxi jipprova li l-host qed jaħdem u li teżisti triq. Ma jgħid xejn dwar il-permess biex jintlaħaq il-port 53, għax il-filtru inkwistjoni jaħdem f’saff ieħor u jiddependi mill-adapter. Għalhekk l-istess magna tista’ twieġeb għall-ICMP u tirrifjuta kull mistoqsija mibgħuta lill-istess indirizz. Mexxi ż-żewġ testijiet fl-istess sessjoni qabel ma tbiddel kwalunkwe konfigurazzjoni.

ping <resolver-ip>
nslookup <name> <resolver-ip>

Dik il-par hija d-dijanjosi. It-traffiku ordinarju lejn is-subnet jibqa’ għaddej waqt li r-riżoluzzjoni tal-ismijiet tmut, u n-nies jikkonkludu li s-server huwiex miksur jew li d-DNS qatt ma ntbagħat. Iż-żewġ spjegazzjoni huma għaljin biex isegwu, u l-evidenza tindika lejn post idjaq. Ikkonferma l-par qabel ma tmiss kwalunkwe setting.

L-għażla hija regola tal-pjattaforma tal-filtraġġ

Ir-referenza ta’ OpenVPN tiddeskrivi block-outside-dns bħala restrizzjoni tal-Windows Filtering Platform li twaqqaf lill-applikazzjonijiet milli jilħqu d-DNS fuq adapters barra t-tunnel. Hija tkopri TCP u UDP il-port 53. Peress li l-filtru jgħix fil-WFP u mhux fil-lista tas-soltu tar-regoli tal-firewall, regola ta’ permess x’imkien ieħor mhux bilfors tbiddel ir-riżultat. Għalhekk il-parir tas-soltu li tippermetti d-DNS ikompli jfalli.

Is-setting tista’ tiġi mill-profil importat jew mis-server, u l-fajl li ħadt l-aħħar editja "mhuwiex prova ta’ dak li tagħbija il-klijent". Aqra l-konfigurazzjoni effettiva u l-log tal-konnessjoni flimkien. L-għażla hija wkoll speċifika għal Windows, u t-trattament tagħha bħala waħda portabbli jipproduċi pariri li ma japplikawx.

Fittex il-komponent tal-klijent li jippossjedi r-restrizzjoni minflok ma żżid aktar regoli. Is-sid huwa dak li jista’ tassew ineħħiha.

Filtru mhuwiex resolver

L-iblokkar tat-traffiku barra t-tunnel ma jinstallax resolver li jaħdem ġewwa fih. L-għażla tneħħi triq u tħalli l-konfigurazzjoni tad-DNS tat-tunnel lil min qiegħed il-profil. Profil li qatt ma bagħat resolver issa m’għandux wieħed.

Mexxi tliet verifiki fl-ordni. L-ewwel, liema resolver l-applikazzjoni li qed tfalli tassew tuża. It-tieni, jekk il-klijent applikax is-settings tad-DNS tal-VPN. It-tielet, liema interface ġġorr it-traffiku lejn dak ir-resolver.

  1. Resolver li qed jintuża: qabbel Resolve-DnsName -Server <resolver-ip> <name> mas-servers tad-DNS li jelenka ipconfig /all.
  2. DNS tal-VPN applikat: eżamina l-entrati tad-DNS tal-adapter tat-tunnel fl-istess output ta’ ipconfig /all.
  3. Interface li ntużat: Find-NetRoute -RemoteIPAddress <resolver-ip> isemmi l-interface tal-ħruġ għal dak id-destinazzjoni.

Resolver tal-LAN isir ma jintlaħaqx bid-disinn taħt din il-politika, anki waqt li traffiku ieħor tal-LAN jaħdem. Din hija l-għażla tagħmel xogħolha. Jekk id-disinn jeħtieġ id-DNS permezz tal-VPN, sewwi r-reġistrazzjoni tar-resolver u t-triq tat-tunnel; jekk hija meħtieġa split DNS b’eċċezzjonijiet lokali, is-sid tal-konfigurazzjoni għandu jesprimi dawk l-eċċezzjonijiet b’mod appoġġjat.

X’ma tkoprix l-għażla

Il-port 53 mhuwiex ir-riżoluzzjoni kollha tal-ismijiet. DNS over HTTPS u DNS over TLS jużaw trasport differenti, u xi applikazzjonijiet imexxu loġika tar-resolver tagħhom stess irrispettivament mis-settings tas-sistema. Għalhekk browser jista’ jirriżolvi ismijiet waqt li l-linja tal-kmand ma tistax.

Ittratta dik id-differenza bħala dijanjosi u mhux bħala kontradizzjoni. Qabbel it-tnejn qabel ma tiddeċiedi li r-resolver tas-sistema huwiex miksur.

Żomm il-konklużjoni dejqa meta tiktebha. Din l-għażla torbot trasport wieħed fuq pjattaforma waħda, u l-bqija tat-triq tar-riżoluzzjoni hija kwistjoni tad-disinn separata bis-sid tagħha.

Iċċekkja l-istat qabel u wara l-iżkonnessjoni

Mexxi l-istess tiftixa waqt il-konnessjoni u għal darb’oħra wara li l-klijent sid jiskonnettja. L-ewwel għandha tfalli għal resolver estern waqt li t-tunnel huwa fuq, u t-tieni għandha tirnexxi hekk kif jitneħħa l-filtru. Jekk għadha tfalli wara l-iżkonnessjoni, il-filtru ma naddafx.

ipconfig /displaydns
nslookup <name> <resolver-ip>

L-istartjar mill-ġdid tas-servizz tal-klijent jew tal-magna tas-soltu jnaddaf filtru antik. Dan jikkonferma d-dijanjosi mingħajr ma jipprova tiswija permanenti. Irreġistra dak li rajt, għax filtru li jibqa’ ħaj wara skonnessjoni jerġa’ jagħmilha, u r-reġistrazzjoni hija dik li tiġġustifika rapport ta’ bug.

Biss wara dawk il-verifiki jagħmel sens li tibdel ir-resolver jew terġa’ tibni l-politika tal-firewall. It-tnejn huma bidliet akbar milli tappoġġja l-evidenza.

Artikli relatati