Server DNS ħażin fil-VPN ta' Windows: metrika, ordni tal-irbit jew suffiss

Klijent Windows jista' jkollu tunnel li jaħdem, iġorr ir-resolver korporattiv u xorta jibgħat ismijiet interni lir-router tad-dar. Tliet mekkaniżmi differenti jiddeċiedu liema server iwieġeb, u jonqsu b'modi differenti. M'għandekx bżonn tissewwi t-tlieta: is-sintomu jgħidlek liema qiegħed fil-logħba. Is-siġra tad-deċiżjonijiet hawn taħt tieħu ftit minuti u tipprevjeni r-riżultat tas-soltu, fejn bidla fil-metrika, riordinar fir-reġistru u regola NRPT jaslu flimkien u ħadd ma jaf liema minnhom għamlet xi ħaġa.

Tliet mekkaniżmi jiddeċiedu, u normalment wieħed huwa ħażin

Il-metrika tal-interface tordna l-adapters għal familja ta' indirizzi partikolari. L-ordni tal-irbit taħt Tcpip\Linkage hija lista tal-livell tal-magna ta' identifikaturi tal-interface li l-mogħdijiet tal-kodiżi l-qodma għadhom jikkonsultaw. It-Tabella tal-Politika tal-Klarifikazzjoni tal-Ismijiet (NRPT) torbot spazju tal-ismijiet ma' servers speċifiċi, u l-lista tas-suffissi tiddeċiedi jekk isem qasir jiġix estiż xejn. Huma indipendenti, u għalhekk resolver korrett fuq l-adapter VPN jitlef kontra preferenza skaduta x'imkien ieħor.

L-ebda wieħed minn dawn il-mekkaniżmi mhu n-naħa l-oħra tat-tunnel. Jekk is-server li l-VPN iimbotta ma jistax jikklassifika l-isem, kull konfigurazzjoni fuq in-naħa tal-klijent hija biss dekorazzjoni, allura l-ewwel deċiżjoni hija jekk ir-resolver innifsu jistax iwieġeb meta tintalab direttament.

Deċiżjoni waħda: ir-resolver imbuttat jista' jwieġeb xejn?

Staqsi lis-server b'mod espliċitu u qabbel ma' tfittxija ordinarja. Id-differenza bejn it-tweġibiet tifred problema ta' għażla minn problema ta' aċċessibilità, u hawn hija l-iktar fergħa mgħaġġla:

Resolve-DnsName intranet.corp.example -Server 10.20.0.10 -Type A
Resolve-DnsName intranet.corp.example -Type A

Jekk l-ewwel tirnexxi u t-tieni tfalli, ir-resolver hija aċċessibbli u Windows qiegħed jagħżel ħażin; mur għad-deċiżjonijiet dwar l-ispazju tal-ismijiet u l-ordni hawn taħt. Jekk l-ewwel tfalli wkoll, xejn fuq il-klijent ma jgħin: iċċekkja li UDP u TCP 53 jaslu s-server mit-tunnel, li l-ebda firewall tal-host fuq is-server ma jitfa' l-pool, u li l-forwarders tas-server stess huma sħaħ.

Ieqaf f'din il-fergħa. L-applikazzjoni ta' regola NRPT fuq resolver li ma tistax tilħaq tipproduċi l-istess falliment b'aktar konfigurazzjoni x'titħassar, u taħbi l-ħsara vera wara regola li tidher awtorevoli.

Deċiżjoni tnejn: spazju tal-ismijiet wieħed, jew kull mistoqsija?

L-ambitu jiddeċiedi l-għodda. Meta jonqsu biss l-ismijiet korporattivi, orbot l-ispazju tal-ismijiet minflok ma tordna mill-ġdid il-magna: regola NRPT tibgħat dak is-suffiss lir-resolver tat-tunnel u tħalli kollox ieħor fil-kwiet. Meta kull tfittxija tiġi affettwata, il-problema hija preferenza globali tal-adapters, u l-metrika hija l-post minn fejn tibda għax ma tbiddel l-ebda konfigurazzjoni tas-server.

Issettja l-metrika għal kull familja ta' indirizzi, fuq iż-żewġ interfaces, u mbagħad ikkonferma l-ordni:

Get-NetIPInterface | Select-Object ifIndex, InterfaceAlias, AddressFamily, InterfaceMetric
Set-NetIPInterface -InterfaceIndex 11 -InterfaceMetric 1 -AddressFamily IPv4
Set-NetIPInterface -InterfaceIndex 11 -InterfaceMetric 1 -AddressFamily IPv6

Ibdel 11 bl-ifIndex tal-adapter tat-tunnel mil-linja ta' fuq; jekk 11 huwa l-adapter LAN, l-istess kmand inaqqas il-mogħdija ħażina. Li tittella' l-adapter LAN minflok jilħaq l-istess ordni min-naħa l-oħra: netsh int ip set interface interface="Ethernet" metric=15, u netsh int ipv6 set interface interface="Ethernet" metric=15 għat-tieni familja, għax int ip imiss biss IPv4.

L-ordni tal-irbit hija l-aħħar għażla u mhux l-ewwel pass. HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Linkage iżomm lista Bind ta' identifikaturi tal-apparati, u li ċċaqlaq l-identifikatur tat-tunnel quddiem tabilħaqq tbiddel liema adapter jiġi mistoqsi l-ewwel, iżda hija valur tar-reġistru tal-livell tal-magna mingħajr ambitu għal kull spazju tal-ismijiet. Esportah qabel ma teditja u mbagħad erġa' qabbad it-tunnel, sabiex l-ordni tapplika fl-istat li jistenna l-klijent.

Għal spazju tal-ismijiet wieħed, ippreferi l-għodda l-iktar dejqa:

Add-DnsClientNrptRule -Namespace ".corp.example" -NameServers 10.20.0.10
Get-DnsClientNrptRule | Select-Object Namespace, NameServers

Deċiżjoni tlieta: is-sewwa jibqa' wara qabbda mill-ġdid?

Metrika li taħdem sad-data tal-qabbda mill-ġdid li jmiss qatt ma ġiet salvata. L2TP/IPsec u profili oħra tal-konnessjoni jerġgħu jinħolqu meta tibda l-konnessjoni, allura l-valur salvat jgħix fl-entrata tal-ktieb tat-telefon bħala IpInterfaceMetric, mhux biss fuq l-interface ħaj. Xi ambjenti jiktbu dak il-qasam b'skript proprju għal din ir-raġuni; oħrajn iimbottaw il-preferenza minn politika tal-ġestjoni u jħallu l-punt tat-tmiem fil-kwiet.

Il-cache u r-reġistrazzjoni huma saff separat. Li tħaddimhom wara li jitla' t-tunnel isewwi entrati skaduti u jerġa' jirreġistra l-klijent, iżda l-ebda waħda ma tordna mill-ġdid adapter:

ipconfig /registerdns
ipconfig /flushdns

Hemm swiċċ tal-għeluq fl-istess saff. Li tiddiżattiva r-reġistrazzjoni dinamika fuq l-adapter fiżiku jwaqqaf il-klijent milli jħabbar l-indirizz tiegħu min-naħa VPN taħt isem ħażin, u dan huwa tiswija differenti mill-aġġornament ta' fuq.

IPv6 jistħoqqlu linja tiegħu fid-deċiżjoni. Jekk l-adapter fiżiku jkollu indirizz IPv6 globali waqt li t-tunnel iġorr biss IPv4, Windows jista' jippreferi l-mogħdija mingħajr tunnel għall-klarifikazzjoni tal-ismijiet. Iċċekkja dik il-familja separatament, għax metrika mħejjija għal IPv4 ma tgħid xejn dwarha:

Get-NetIPInterface -AddressFamily IPv6 | Select-Object ifIndex, InterfaceAlias, InterfaceMetric

Li tiddiżattiva IPv6 fuq l-adapter LAN tneħħi dik il-mogħdija u l-protokoll magħha; bidla fil-metrika fuq l-interface IPv6, jew regola NRPT għall-ispazju tal-ismijiet korporattiv, iżżomm il-familja u ssewwi l-preferenza. Agħżel l-iktar dejqa sakemm ma ddeċidejtx li dak il-ħolqa m'għandux ikollu IPv6.

Ivverifika mas-sors imsemmi, u żomm sid wieħed

Ivverifika bl-għodod li jirrappurtaw liema sors huwa fis-seħħ, mhux biss jekk paġna tgħabbix:

ipconfig /all
Get-DnsClientServerAddress -AddressFamily IPv4
Resolve-DnsName fileserver.corp.example -Server 10.20.0.10 -Type A

Imbagħad ifred il-filtraġġ mill-għażla, għax minn ġewwa applikazzjoni jidhru identiċi. block-outside-dns ta' OpenVPN jimblokka l-port 53 fuq l-adapters l-oħra; ma jagħżilx resolver. Jekk issa kull mistoqsija tfalli, filtru jista' jkun qed jimblokka l-uniku server aċċessibbli; jekk ir-resolver konfigurat qed jiġi injorat, l-ordni jew ir-regola tal-ispazju tal-ismijiet hija ħażina. Li tbiddel it-tnejn flimkien tagħmel mistoqsija mblukkata u mistoqsija injorata indistinguibbli.

Żomm sid wieħed għall-politika tad-DNS: il-profil VPN, politika tal-ġestjoni jew regola NRPT, mhux tnejn minnhom. Qabel ma tagħlaq:

• Ir-resolver imbuttat iwieġeb meta jissemma b'mod espliċitu, u tfittxija ordinarja tużah.
• Ir-regola jew il-metrika li biddilt tkopri l-familja ta' indirizzi li tabilħaqq iġġorr il-mistoqsijiet.
• Il-konfigurazzjoni tibqa' wara skonnessjoni u qabbda mill-ġdid, jew ċċaqlaqtha fil-profil salvat.
• Eżattament mekkaniżmu wieħed huwa awtorevoli, u l-oħrajn tħallew kif kienu.

Qis l-ordni bħala stat tal-ambjent u mhux bħala xi ħaġa li tispiċċa. Erġa' ċċekkjaha wara qabbda mill-ġdid u wara aġġornament ta' Windows li jmiss il-munzell tan-netwerk, għax wieħed minnhom jista' jġib l-adapter fiżiku lura quddiem.