De ce Windows trimite numele VPN către un server DNS pe care nu l-ați configurat niciodată

Setați serverul DNS pe adaptorul VPN, vă reconectați, iar numele privat tot vine de la resolverul biroului pe care nimeni nu l-a configurat pe acest laptop. Rezultatul arată ca și cum setarea ar fi fost ignorată, și într-un sens chiar a fost, pentru că lista adaptoarelor este un set de candidați, nu o decizie. Windows rezolvă numele printr-o politică de spațiu de nume care poate indica alt server pentru un anumit sufix, iar acea politică se aplică înainte ca setarea adaptorului să fie luată în considerare. Găsirea regulii care a câștigat este o muncă de cinci minute odată ce știți ce tabel să citiți.

Ce ați schimbat și ce decide de fapt

Adresa DNS de pe un adaptor îi spune clientului unde ar putea trimite interogări acea interfață. Tabelul politicii de rezolvare a numelor îi spune clientului unde trebuie să trimită interogările pentru un anumit spațiu de nume, și este evaluat după nume, nu după adaptor. Când o regulă se potrivește cu sufixul tastat, se folosesc serverele regulii, iar lista adaptoarelor nu mai contează pentru acea căutare.

De aceea două nume de pe același laptop pot urma căi diferite în același moment. Un host sub sufixul corporativ urmează regula sa; un nume public urmează calea implicită, ceea ce înseamnă de obicei adaptorul care răspunde primul.

Cum potrivește tabelul un nume

Regulile sunt indexate după spațiul de nume, iar potrivirea cea mai specifică câștigă. O regulă pentru corp.example se aplică la vpn.corp.example și nu se aplică la example.net. O regulă cu spațiul de nume . acoperă tot ce nu acoperă celelalte reguli, ceea ce o face cea mai periculoasă intrare din listă și cea care merită verificată când un site nelegat se rezolvă prin tunel.

O regulă poate purta și un comentariu, o politică ce dezactivează intrarea și setări de securitate fără legătură cu adresele DNS. O regulă dezactivată rămâne vizibilă în configurație fără să aibă efect, așa că o intrare care pare corectă pe hârtie poate rămâne inertă după o schimbare de profil.

Citiți tabelul efectiv, nu lista de dorințe

Regulile configurate și regulile efective sunt două întrebări diferite. Get-DnsClientNrptRule enumeră ce există pe mașină. Get-DnsClientNrptPolicy -Effective arată ce va aplica clientul în realitate, cu valorile fuzionate din politică și setările locale.

Comparați sufixul din acea ieșire cu numele pe care îl testați, caracter cu caracter. O regulă pentru corp.example nu prinde un nume care se termină cu corp.example.com, iar un punct final într-un loc și nu în celălalt este suficient pentru a schimba potrivirea.

Fără regulă, Windows întreabă mai mult de un adaptor

Când nimic din tabel nu revendică numele, clientul poate trimite interogarea prin mai multe interfețe și poate lua primul răspuns care sosește. Rezultatul depinde de moment: același nume poate fi rezolvat de la adaptorul cu cablu luni și de la tunel marți, iar nimic din configurația niciunuia dintre adaptoare nu explică diferența.

Există două ieșiri. Adăugați o regulă pentru spațiul de nume ca decizia să nu mai fie o cursă, sau opriți comportamentul paralel prin politica de client DNS și acceptați rezolvarea mai lentă și deterministă. Prima se potrivește de obicei mai bine unui VPN cu tunel divizat, pentru că documentează intenția în loc să se bazeze pe ordine.

Căi care ocolesc complet resolverul

Un browser cu DNS securizat activat rezolvă singur și îi dă Windows-ului doar adresa, așa că tabelul de reguli nu vede niciodată numele. Clienții construiți pe medii cu resolver propriu se pot comporta la fel. Când un nume se rezolvă într-o aplicație și eșuează în alta pe aceeași mașină, comparați cele două căi de rezolvare înainte de a atinge politica.

Verificați și dacă aplicația se conectează la o adresă din memoria cache a unei sesiuni anterioare. Clear-DnsClientCache și apoi aceeași căutare dau un răspuns mai curat decât deducerea dintr-un rezultat vechi.

Testați cu numele care a eșuat

Rezolvați numele exact de host din raport, nu un domeniu public de test de viteză, și notați care server a răspuns. Apoi schimbați un singur lucru: regula, lista adaptoarelor sau atribuirea politicii, și repetați aceeași căutare după reconectare, pentru ca starea aplicată să fie reconstruită.

Dacă numele se rezolvă și serviciul refuză în continuare, opriți editarea DNS. Următorul pas util este adresa și ruta către ea, pentru că rezolvarea numelor și-a făcut deja treaba.