Ko zapravo primjenjuje OpenConnect DNS postavke na Windowsu?

Podizanje tunela nije isto što i instaliranje njegovih DNS vrijednosti. OpenConnect pregovara, a pomoćnik na strani Windowsa primjenjuje. Razlika između ta dva koraka objašnjava većinu neuspjeha privatnih imena na ovom klijentu, a pomoćnik gotovo nikada nije stranica VPN postavki u Windowsu.

Odvojite što je gateway ponudio od onoga što je Windows instalirao

Klijent predaje podatke o vezi skriptnom interfejsu, a Unix i Windows varijante su odvojeni programi. Na Windowsu je implementacija obično JavaScript pomoćnik koji čita varijable poput internog DNS servera i internog domena prije nego dodirne bilo koji adapter. Ništa u samom tunelu ne zapisuje stanje resolvera.

Ta podjela je važna jer vrijednost može postojati u pregovoru i nikada ne stići do adaptera. Pomoćnik koji nedostaje, padne na pola puta ili je starija kopija ugrađena u GUI omotač ostavlja Windows točno kakav je bio. Sesija izgleda povezano, privatno ime se još razrješava preko lokalnog pružatelja i ništa u prozoru klijenta ne ukazuje na razliku. Čitanje vlastitog izlaza pomoćnika jedini je pouzdan način da saznate koja se faza slomila.

GUI omotač može isporučiti vlastitu kopiju klijenta i pomoćnika, pa drugi openconnect.exe negdje drugdje na disku ništa ne dokazuje. Pronađite izvršnu datoteku koja je pokrenula sesiju prije nego procijenite njezinu konfiguraciju.

Pročitajte stanje resolvera bez promjene

Tri upita samo za čitanje pokrivaju uobičajenu zbrku, a svaki odgovara na drugo pitanje:

Get-DnsClientServerAddress -AddressFamily IPv4
Get-DnsClient | Select-Object InterfaceAlias, ConnectionSpecificSuffix
Get-DnsClientNrptPolicy -Effective

Server na razini adaptera je ono što većina ljudi smatra VPN DNS-om. Sufiks specifičan za vezu odlučuje hoće li se kratko ime uopće proširiti. Popis pravila imenskog prostora primjenjuje se na podudarna imena bez obzira na redoslijed adaptera, a prazan rezultat tamo nije kvar kada pomoćnik nikada nije namjeravao stvoriti ga. Čitanje sva tri prije uređivanja je ono što sprječava popravak koji samo premješta simptom negdje drugdje.

Počnite s potpuno kvalificiranim imenom. Ako se FQDN razrješava, a kratko ime ne, sufiks ili popis pretraživanja je praznina, a ne adresa servera.

Upitajte predviđeni server izravno kao drugi korak, bilo kojim već instaliranim alatom resolvera. Izravan odgovor dokazuje da je server dostupan i mjerodavan za zonu. Ne dokazuje ništa o tome koji server aplikacija pita prema zadanim postavkama.

Imenujte komponentu koja posjeduje vezu

Uobičajena su dva rasporeda. Klijent pokrenut iz terminala eksplicitno prenosi putanju svoje skripte, pa je vlasnik vidljiv u naredbi koja je izvršena. Pakirana aplikacija pokreće klijent umjesto vas i drži pomoćnika unutar vlastitog direktorija, što znači da dobavljač odlučuje kada će se promijeniti.

Usporedite verzije pomoćnika među instalacijama prije nego bilo što zamijenite. Pokretanje pomoćnika preuzetog s ogledala s povišenim pravima jer ime datoteke izgleda poznato pretvara prazninu u DNS-u u sigurnosni incident.

Kada je vlasnik poznat, cilj popravka postaje očit: podržana putanja skripte u pokretaču, ažuriranje paketa ili ispravljen profil na gatewayu. Ništa od toga ne zahtijeva ručno uređivanje svojstava adaptera.

Popravite vlasnika, a ne adapter

Ručno postavljen DNS adaptera često preživi prekid veze, zato se čini da radi, a potom stvara probleme na sljedećoj mreži. Javni resolver pričvršćen na svako sučelje skriva problem privatnog imenskog prostora umjesto da ga rješava. Kada pomoćnik nikada nije primio DNS vrijednost, profil gatewaya je mjesto za provjeru. Kada ju je primio, a adapter još pokazuje stari server, pomoćnik je pao tijekom povezivanja i klijentski dnevnik to obično bilježi blizu redaka postavljanja tunela.

Ponovno izgradite stanje kroz podržanu putanju, zatim provjerite cijeli ciklus: povežite se, razriješite privatni FQDN, otvorite uslugu, prekinite vezu i potvrdite da se adapter vratio s prethodnim serverima.

Provjerite aplikaciju koja doista pada

Preglednik s vlastitom postavkom šifriranog DNS-a ignorira sve gore i nastavlja odgovarati s javnog resolvera. Aplikacija koja drži predmemorirani negativni odgovor od prije podizanja tunela ponaša se isto. Usporedite ju s običnim sistemskim upitom na istom stroju prije nego ponovno promijenite adrese resolvera.

Ako je sistemski upit ispravan, a aplikacija pogrešna, preostali kvar nalazi se unutar DNS konfiguracije te aplikacije, a ne na VPN putu.