Zašto DNS prestaje raditi nakon povezivanja OpenVPN-a na Windowsu

Resolver još odgovara na ping dok port 53 nikamo ne vodi. Provjerite filtrira li block-outside-dns, zatim osigurajte resolver do kojeg tunel može doći.

Ping na uredski resolver još dobiva odgovor nakon spajanja na "OpenVPN", a svako pretraživanje imena ipak ne uspijeva. Adresa je dostupna dok port nije, kombinacija koja ima smisla kada znate da Windows može filtrirati DNS po adapteru. Uz block-outside-dns u profilu, taj je filtar prvi osumnjičenik, a tablica ruta pogrešno je mjesto za traženje. Dva testa ispod razdvajaju slojeve u sekundama.

Dostupna adresa, mrtav port

Uspješan ping dokazuje da je host živ i da staza postoji. Ništa ne govori o dopuštenju za port 53, jer dotični filtar radi na drugom sloju i ovisi o adapteru. Zato isto računalo može odgovoriti na ICMP i odbiti svaki upit poslan na istu adresu. Pokrenite oba testa u istoj sesiji prije nego promijenite bilo koju konfiguraciju.

ping <resolver-ip>
nslookup <name> <resolver-ip>

Taj par je dijagnoza. Običan promet prema podmreži nastavlja raditi dok rješavanje imena umire, pa ljudi zaključe da je poslužitelj pokvaren ili da DNS nikad nije poslan. Oba objašnjenja skupa su za praćenje, a dokazi upućuju na nešto uže. Potvrdite par prije nego dirnete postavku.

Opcija je pravilo platforme za filtriranje

OpenVPN referenca opisuje block-outside-dns kao ograničenje Windows Filtering Platform koje sprječava aplikacije da dohvate DNS na adapterima izvan tunela. Obuhvaća TCP i UDP port 53. Budući da filtar živi u WFP-u, a ne u uobičajenom popisu pravila vatrozida, dodavanje pravila za dopuštanje negdje drugdje ne mijenja nužno ishod. Zato uobičajeni savjet da se dozvoli DNS i dalje ne uspijeva.

Postavka može doći iz uvezenog profila ili s poslužitelja, a datoteka koju ste posljednju uređivali "nije dokaz što je klijent učitao". Čitajte važeću konfiguraciju i dnevnik veze zajedno. Opcija je i specifična za Windows, a tretiranje kao prenosive daje savjete koji se ne primjenjuju.

Tražite klijentsku komponentu koja posjeduje ograničenje umjesto da dodajete još pravila. Vlasnik je ono što to zaista može ukloniti.

Filtar nije resolver

Blokiranje prometa izvan tunela ne instalira radni resolver unutar njega. Opcija uklanja put i ostavlja DNS konfiguraciju tunela onome tko je postavio profil. Profil koji nikad nije poslao resolver sada ga uopće nema.

Prođite kroz tri provjere po redu. Prvo, koji resolver zapravo koristi aplikacija koja ne uspijeva. Drugo, je li klijent primijenio VPN DNS postavke. Treće, koje sučelje nosi promet do tog resolvera.

  1. Resolver u upotrebi: usporedite Resolve-DnsName -Server <resolver-ip> <name> s DNS poslužiteljima koje navodi ipconfig /all.
  2. VPN DNS primijenjen: pregledajte DNS unose tunelskog adaptera u istom izlazu ipconfig /all.
  3. Korišteno sučelje: Find-NetRoute -RemoteIPAddress <resolver-ip> imenuje odlazno sučelje za tu destinaciju.

LAN resolver postaje nedostupan po dizajnu pod ovom politikom, čak i dok drugi LAN promet radi. To je opcija koja radi svoj posao. Ako dizajn treba VPN DNS, popravite registraciju resolvera i put tunela; ako je potreban split DNS s lokalnim iznimkama, vlasnik konfiguracije mora te iznimke izraziti na podržan način.

Što opcija ne pokriva

Port 53 nije cijelo rješavanje imena. DNS over HTTPS i DNS over TLS koriste različite transporte, a neke aplikacije pokreću vlastitu logiku resolvera bez obzira na sistemske postavke. Zato preglednik može razriješiti imena dok naredbeni redak ne može.

Tretirajte tu razliku kao dijagnostiku, a ne kao proturječje. Usporedite oboje prije nego zaključite da je sistemski resolver pokvaren.

Držite zaključak uskim kad ga zapisujete. Ova opcija ograničava jedan transport na jednoj platformi, a ostatak puta rješavanja odvojeno je dizajnersko pitanje sa svojim vlasnikom.

Provjerite stanje prije i poslije prekida veze

Pokrenite istu pretragu tijekom veze i ponovno nakon što se klijent vlasnik odspoji. Prva bi trebala ne uspjeti za vanjski resolver dok je tunel podignut, a druga bi trebala uspjeti kad se filtar ukloni. Ako i dalje ne uspijeva nakon odspajanja, filtar nije očišćen.

ipconfig /displaydns
nslookup <name> <resolver-ip>

Ponovno pokretanje klijentske usluge ili računala obično počisti zastarjeli filtar. To potvrđuje dijagnozu bez dokazivanja trajnog rješenja. Zapišite što ste vidjeli, jer filtar koji preživi odspajanje učinit će to ponovno, a zapis je ono što opravdava prijavu greške.

Tek poslije tih provjera ima smisla zamijeniti resolver ili ponovno izgraditi politiku vatrozida. Oboje su veće promjene nego što ih dokazi podržavaju.

Povezani članci