Vazamento de DNS com VPN no Windows: por que a métrica vence a rota

Uma consulta sai da máquina e chega ao roteador de casa enquanto cada pacote é tunelado. A conclusão natural é uma rota em falta, e a rota costuma estar bem. O Windows pode escolher qual resolver de interface consultar segundo a métrica, e um adaptador de túnel muitas vezes perde essa comparação para o adaptador sem fio.

Duas explicações para um vazamento

A explicação por rotas diz que parte do tráfego escapa do túnel, então a rota padrão ou a lista do túnel dividido devem estar erradas. Essa explicação testa-se com um único comando, e quando a rota padrão aponta para dentro do túnel a questão está resolvida. Verifique-a primeiro porque é barata, e depois deixe-a de lado quando voltar limpa.

A explicação pela classificação diz que o tráfego está todo no túnel e a consulta continua a ser enviada a outro resolver. O Windows trata a escolha do resolver como uma propriedade por interface com uma ordem, portanto um adaptador físico com melhor métrica pode fornecer DNS para um nome mesmo que os pacotes do endereço resolvido passem pelo túnel. As duas explicações produzem o mesmo sintoma numa página de teste de vazamento, por isso o teste não é o diagnóstico. Só uma delas se corrige editando rotas.

Compare métricas e resolvers juntos

Anote as interfaces, as suas métricas e os servidores configurados enquanto o túnel está ativo. Leia tudo como uma tabela e não como duas listas separadas, porque a pergunta é qual resolver vem primeiro, não quais resolvers existem.

Get-NetIPInterface -AddressFamily IPv4 | Sort-Object InterfaceMetric | Select-Object InterfaceIndex, InterfaceAlias, InterfaceMetric
Get-DnsClientServerAddress -AddressFamily IPv4 | Select-Object InterfaceAlias, ServerAddresses

Se o adaptador de túnel tiver um número maior do que o físico, o seu resolver não é preferido, e um nome interno irá para o que o lado físico oferecer. Esse roteador pode responder da cache, reencaminhar a consulta ou recusá-la, e nenhum desses desfechos é o desenho que pretendia. A classificação é uma preferência, por isso perde em silêncio em vez de gerar um erro.

Um adaptador de túnel sem qualquer resolver configurado é uma variante igualmente comum. O cliente levanta a interface sem empurrar o DNS, por isso a questão da classificação nem sequer se coloca.

Suba o túnel na lista e verifique de novo

Dê à interface do túnel a métrica mais baixa, ou aumente o valor do adaptador físico, numa shell elevada. Ambas são definições por interface e ambas são reversíveis, o que importa quando altera uma máquina à frente da qual talvez não esteja.

Set-NetIPInterface -InterfaceIndex 27 -InterfaceMetric 1
Get-NetIPInterface -AddressFamily IPv4 | Sort-Object InterfaceMetric

A alteração aparece de imediato, e o cliente DNS e outros consumidores guardam em cache a escolha que já fizeram. Reconecte o túnel, ou reinicie, antes de tirar conclusões de um resultado de consulta. Um teste feito demasiado cedo repetirá o comportamento antigo e parecerá uma correção falhada.

Depois consulte um nome interno e um público e verifique que servidor respondeu. A referência sobre as métricas automáticas da Microsoft explica por que se prefere o valor mais baixo e como é derivada a atribuição automática.

Faça com que sobreviva a uma reconexão

Uma métrica manual num adaptador recriado a cada ligação é uma definição que desaparece. Se o cliente reconstruir a interface, a substituição precisa de um script posterior à ligação, de uma política ou de uma configuração de cliente que possua o DNS durante a ligação.

Os servidores configurados estaticamente no adaptador físico têm o mesmo problema de durabilidade ao contrário. Continuam a responder por essa interface até serem removidos, e o DHCP voltará a preenchê-los no arrendamento seguinte, por isso removê-los é uma medição e não um desenho. O desenho duradouro é uma política de resolução de nomes para o espaço de nomes interno, ou um cliente que assuma o DNS durante a ligação. De qualquer forma, anote a lista de resolvers antes e depois de uma reconexão, restaure a métrica original quando terminar os testes e confirme que o comportamento anterior voltou.