Zašto nslookup radi preko VPN-a, a preglednik ne može

nslookup šalje upit serveru koji navedete i ispisuje odgovor, zato može uspjeti dok svaka kartica preglednika ne uspijeva. Preglednik traži od operativnog sistema da razriješi ime, a sistem odmjerava rezolvere po interfejsu, pravila politike razrješavanja imena i mrežnu lokaciju adaptera. Zatim preglednik može dodati vlastiti šifrirani DNS. Tri različite putanje, jedan simptom, a tunel obično nije pokvareni dio.

Provjere ispod slijede te putanje od sistema prema van. Ne uređujte VPN profil dok ne saznate koja je putanja odgovorila, a koja nije uspjela.

Tri politike odlučuju o odgovoru

Svaki interfejs nosi vlastitu listu rezolvera i sufikse za pretragu. VPN adapter dodaje servere dok fizički adapter zadržava svoje, a sistem može uzeti onaj koji prvi odgovori, pa se pretraga može poslužiti izvan tunela bez ičijeg izbora. Pravila tabele politike razrješavanja imena mogu slati odabrane domene na odabrane servere, tako se split DNS obično izražava na Windows-u. A VPN klijent ili gateway može progurati adresu rezolvera koja postoji samo unutar privatne mreže.

Ta tri djeluju na načine koji iz preglednika izgledaju proizvoljno. Proguram rezolver na privatnoj adresi bez putanje kroz split tunel čini da svaka pretraga zastane i zatim ne uspije. Pravilo politike koje pokriva interni sufiks i pokazuje na isključen server daje istu vidljivu grešku kao nedostajuća putanja. Sufiks za pretragu koji nedostaje na VPN adapteru pretvara kratko ime u javni upit za pogrešan domen. Svaki od njih traži drugačiju popravku.

Zašto preglednik postavlja drugo pitanje

nslookup izdaje vlastiti upit serveru koji odabere i ne slijedi ni politiku imenskog prostora ni postavku šifriranog DNS-a preglednika. Zato ručni upit javnom rezolveru odgovara dok preglednik javlja da stranica ne postoji. Poredite dva programa, a ne dva stanja jednog programa.

Preferencija porodice adresa objašnjava kašnjenje, a ne neuspjeh. Preglednik koji prvo traži IPv6 zapise na tunelu koji nosi samo IPv4 čeka istek vremena prije nego što se povuče. Firefox je imao takvu preferenciju upravo zbog toga, a njeno isključivanje je dijagnostički korak, ne popravka.

Pročitajte listu rezolvera i pravila

Na Windows-u ispišite šta sistem drži prije teoretisanja. Get-DnsClientServerAddress prikazuje servere po interfejsu, Get-DnsClientNrptRule navodi pravila imenskog prostora, a Resolve-DnsName odgovara na tačno ime kroz sistemsku putanju. Uporedite taj odgovor s direktnim upitom na VPN-ov server po adresi. Kada Resolve-DnsName ne uspije, a direktni upit uspije, sumnjivac je lista rezolvera ili pravilo imenskog prostora.

Provjerite i samo ime. Interno kratko ime može tražiti privatni sufiks koji daje samo VPN adapter, dok se potpuno kvalifikovano ime dobro razrješava. Upozorenje o certifikatu nakon uspješne pretrage pripada drugom problemu.

Nedostupni proguram rezolver

Gateway ili klijent može progurati adresu rezolvera, a ta adresa mora biti dostupna kroz tunel. Na split tunelu privatni raspon koji drži rezolver možda nije među uključenim putanjama, što daje pretragu koja nikada ne dobije odgovor. Potvrdite da putanja postoji, zatim upitajte tu adresu posebno, kroz tunel. To je neuspjeh iza greške domena u pregledniku dok javni rezolver još odgovara.

Ako je rezolver nedostupan, popravka je putanja ili uključena podmreža, a ne drugi DNS server.

Šifrirani DNS zaobilazi cijelu putanju

Preglednici s DNS-over-HTTPS sami razrješavaju imena preko HTTPS veze s odabranim provajderom. Kad je to uključeno, sistemski rezolver i pravila split DNS-a potpuno se zaobilaze za te pretrage, pa interna imena ne uspijevaju u pregledniku dok ih operativni sistem ispravno razrješava. Događa se i obrnuto: interna imena uspijevaju u pregledniku preko provajdera koji ih nikada ne bi trebao vidjeti, a to je problem politike, ne povezanosti.

Svjesno odlučite je li šifrirani DNS dopušten na upravljanim uređajima, zatim ga konfigurirajte kroz upravljačko sučelje preglednika da izbor bude vidljiv. Prepuštanje individualnoj preferenciji stvara flotu u kojoj se isti VPN ponaša drugačije na svakom laptopu.

Popravke koje odgovaraju kvaru

Ako VPN progura svoj rezolver, učinite da tunel nosi saobraćaj do njega i da ista postavka bude vidljiva na adapterima koji učestvuju u razrješavanju. Ako lokalne stranice prestanu da se razrješavaju dok ste povezani, dodajte izričite izuzetke imenskog prostora ili uslovni prosljeđivač umjesto potpune zamjene rezolvera. Ako šifrirani DNS preglednika zaobilazi politiku, to je postavka koju treba promijeniti. Nikada ne dodajte javni rezolver da popravite interno ime: on izlaže privatne upite i ne razrješava ime.

Zatim odvojite pretragu od veze. Ime koje se razrješava na ispravnu adresu ali odbija vezu problem je usluge, firewall-a ili certifikata, a promjene DNS-a ga neće popraviti.

Zabilježite koja je putanja odgovorila, koja nije uspjela i šta ste promijenili. Sljedeći izvještaj o istom simptomu tada traži jednu komandu umjesto cijelog popodneva.