Prečo nslookup funguje cez VPN, ale prehliadač nie

nslookup pošle dotaz na server, ktorý zadáte, a vytlačí odpoveď, preto môže uspieť, kým každá karta prehliadača zlyháva. Prehliadač žiada operačný systém o preklad a systém zvažuje resolvery jednotlivých rozhraní, pravidlá zásad prekladu mien a sieťové umiestnenie adaptéra. Potom môže prehliadač pridať ešte vlastné šifrované DNS. Tri rôzne cesty, jeden príznak a tunel zvyčajne nebýva pokazená časť.

Nasledujúce kontroly idú po týchto cestách od systému von. Neupravujte profil VPN, kým nebudete vedieť, ktorá cesta odpovedala a ktorá zlyhala.

O odpovedi rozhodujú tri zásady

Každé rozhranie nesie vlastný zoznam resolverov a vyhľadávacie prípony. Adaptér VPN pridáva servery, zatiaľ čo fyzický adaptér si drží svoje a systém môže vziať ten, ktorý odpovie prvý, takže vyhľadanie môže byť obslúžené mimo tunela bez toho, aby to niekto zvolil. Pravidlá tabuľky zásad prekladu mien môžu posielať vybrané domény na vybrané servery, čo je obvyklý spôsob, akým sa split DNS vyjadruje vo Windows. A klient VPN alebo brána môžu pretlačiť adresu resolvera, ktorá existuje len vo vnútornej sieti.

Tieto tri sa ovplyvňujú spôsobmi, ktoré z prehliadača vyzerajú náhodne. Pretlačený resolver na súkromnej adrese bez trasy cez rozdelený tunel spôsobí, že každé vyhľadanie zamrzne a potom zlyhá. Pravidlo zásad pokrývajúce vnútornú príponu a ukazujúce na vypnutý server dáva rovnakú viditeľnú chybu ako chýbajúca trasa. Chýbajúca vyhľadávacia prípona na adaptéri VPN premení krátke meno na verejný dotaz na nesprávnu doménu. Každý z nich potrebuje inú opravu.

Prečo sa prehliadač pýta na niečo iné

nslookup vydáva vlastný dotaz na server, ktorý si vyberie, a neriadi sa ani zásadami menného priestoru, ani nastavením šifrovaného DNS prehliadača. Preto ručný dotaz na verejný resolver odpovedá, kým prehliadač hlási, že stránka neexistuje. Porovnávate dva programy, nie dva stavy jedného programu.

Preferencia rodiny adries vysvetľuje zdržanie, nie zlyhanie. Prehliadač, ktorý v tuneli nesúcom len IPv4 žiada najprv záznamy IPv6, čaká na vypršanie časového limitu, kým ustúpi. Firefox mal takú preferenciu práve preto a jej vypnutie je diagnostický krok, nie oprava.

Prečítajte zoznam resolverov a pravidlá

Vo Windows vypíšte, čo systém drží, kým začnete teoretizovať. Get-DnsClientServerAddress ukazuje servery podľa rozhrania, Get-DnsClientNrptRule vypisuje pravidlá menného priestoru a Resolve-DnsName odpovedá na presné meno systémovou cestou. Porovnajte túto odpoveď s priamym dotazom na server VPN podľa adresy. Keď Resolve-DnsName zlyhá a priamy dotaz uspeje, podozrivý je zoznam resolverov alebo pravidlo menného priestoru.

Skontrolujte aj samotné meno. Vnútorné krátke meno môže potrebovať súkromnú príponu, ktorú dodáva len adaptér VPN, zatiaľ čo plne kvalifikované meno sa preloží dobre. Varovanie certifikátu po úspešnom vyhľadaní patrí k inému problému.

Nedostupný pretlačený resolver

Brána alebo klient môžu pretlačiť adresu resolvera a táto adresa musí byť dostupná cez tunel. V rozdelenom tuneli nemusí byť súkromný rozsah obsahujúci resolver medzi zahrnutými trasami, čo vedie k vyhľadaniu, ktoré nikdy nedostane odpoveď. Potvrďte, že trasa existuje, a potom sa tunelem opýtajte priamo na túto adresu. To je zlyhanie za chybou domény v prehliadači, kým verejný resolver ešte odpovedá.

Ak je resolver nedostupný, opravou je trasa alebo zahrnutá podsiete, nie iný DNS server.

Šifrované DNS obchádza celú cestu

Prehliadače s DNS-over-HTTPS prekladajú mená samy cez HTTPS spojenie k vybranému poskytovateľovi. Keď je to zapnuté, systémový resolver a pravidlá split DNS sa pre tieto vyhľadania úplne obchádzajú, takže vnútorné mená v prehliadači zlyhávajú, zatiaľ čo operačný systém ich prekladá správne. Deje sa aj opak: vnútorné mená v prehliadači uspejú cez poskytovateľa, ktorý by ich nikdy nemal vidieť, a to je problém zásad, nie konektivity.

Vedome rozhodnite, či je šifrované DNS na spravovaných zariadeniach povolené, a potom ho nastavte cez správu prehliadača, aby bola voľba viditeľná. Ponechanie na individuálnych preferenciách vytvára flotilu, kde sa tá istá VPN správa na každom notebooku inak.

Opravy, ktoré zodpovedajú zlyhaniu

Ak VPN pretláča svoj resolver, zabezpečte, aby tunel niesol prevádzku k nemu a rovnaké nastavenie bolo viditeľné na adaptéroch, ktoré sa zúčastňujú prekladu. Ak lokálne stránky pripojení prestanú prekladať, pridajte výslovné výnimky menného priestoru alebo podmienený preposielač namiesto plošnej výmeny resolvera. Ak šifrované DNS prehliadača obchádza zásady, je to nastavenie, ktoré treba zmeniť. Nikdy nepridávajte verejný resolver na opravu vnútorného mena: unikajú cez neho súkromné dotazy a meno nepreloží.

Potom oddeľte vyhľadanie od spojenia. Meno, ktoré sa preloží na správnu adresu, ale odmieta spojenie, je problém služby, firewallu alebo certifikátu a zmeny DNS ho neopravia.

Zapíšte, ktorá cesta odpovedala, ktorá zlyhala a čo ste zmenili. Nabudúce hlásenie toho istého príznaku zaberie jeden príkaz namiesto celého popoludnia.