Prečo Windows posiela vaše názvy VPN na DNS server, ktorý ste nikdy nenastavili

Nastavíte server DNS na adaptéri VPN, znova sa pripojíte, a súkromný názov stále prichádza z kancelárskeho resolvera, ktorý na tomto notebooku nikto nenastavil. Výsledok vyzerá, akoby sa nastavenie ignorovalo, a do istej miery sa aj ignorovalo, pretože zoznam adaptérov je množina kandidátov, nie rozhodnutie. Windows prekladá názvy cez zásadu menného priestoru, ktorá pre určitú príponu môže určiť iný server, a táto zásada sa uplatní skôr, než sa zohľadní nastavenie adaptéra. Nájsť pravidlo, ktoré vyhralo, je práca na päť minút, keď viete, ktorú tabuľku čítať.

Čo ste zmenili a čo skutočne rozhoduje

Adresa DNS na adaptéri hovorí klientovi, kam môže toto rozhranie posielať dopyty. Tabuľka zásad prekladu názvov hovorí klientovi, kam musí posielať dopyty pre daný menný priestor, a vyhodnocuje sa pre každý názov, nie pre adaptér. Keď pravidlo zodpovedá prípone, ktorú ste zadali, použijú sa servery pravidla a zoznam adaptérov prestane byť pre toto hľadanie dôležitý.

Preto môžu dva názvy na tom istom notebooku v tej istej chvíli ísť rôznymi cestami. Hostiteľ pod firemnou príponou nasleduje svoje pravidlo; verejný názov nasleduje predvolenú cestu, čo zvyčajne znamená ten adaptér, ktorý odpovie prvý.

Ako tabuľka páruje názov

Pravidlá sú kľúčované menným priestorom a vyhráva najkonkrétnejšia zhoda. Pravidlo pre corp.example platí pre vpn.corp.example a neplatí pre example.net. Pravidlo s menným priestorom . pokrýva všetko, čo ostatné pravidlá nepokrývajú, čo z neho robí najnebezpečnejšiu položku v zozname a tú, ktorú sa oplatí skontrolovať, keď sa nesúvisiaca stránka prekladá cez tunel.

Pravidlo môže tiež niesť komentár, zásadu, ktorá položku vypne, a bezpečnostné nastavenia, ktoré nemajú nič spoločné s adresami DNS. Vypnuté pravidlo zostáva v konfigurácii viditeľné, ale nemá účinok, takže položka, ktorá na papieri vyzerá správne, môže po zmene profilu zostať nečinná.

Čítajte účinnú tabuľku, nie zoznam prianí

Nakonfigurované pravidlá a účinné pravidlá sú dve rôzne otázky. Get-DnsClientNrptRule vypisuje, čo na stroji existuje. Get-DnsClientNrptPolicy -Effective ukazuje, čo klient skutočne použije, s hodnotami zlúčenými zo zásady a miestnych nastavení.

Porovnajte príponu v tomto výstupe s názvom, ktorý testujete, znak po znaku. Pravidlo pre corp.example nezachytí názov končiaci na corp.example.com, a bodka na konci na jednom mieste a jej absencia na druhom stačí na zmenu zhody.

Bez pravidla sa Windows pýta viac ako jedného adaptéra

Keď si názov v tabuľke nič nenárokuje, klient môže poslať dopyt niekoľkými rozhraniami a vziať prvú odpoveď, ktorá príde. Výsledok závisí od času: ten istý názov sa môže v pondelok preložiť z káblového adaptéra a v utorok z tunela a nič v konfigurácii žiadneho z adaptérov ten rozdiel nevysvetľuje.

Existujú dve východiská. Pridajte pravidlo pre menný priestor, aby rozhodnutie prestalo byť pretekmi, alebo vypnite paralelné správanie cez zásadu klienta DNS a prijmite pomalší, deterministický preklad. Prvé sa zvyčajne hodí lepšie pre VPN s rozdeleným tunelom, pretože dokumentuje zámer namiesto spoliehania sa na poradie.

Cesty, ktoré resolver úplne obchádzajú

Prehliadač so zapnutým zabezpečeným DNS prekladá sám a Windows odovzdá len adresu, takže tabuľka pravidiel názov nikdy nevidí. Klienti postavení na prostrediach s vlastným resolverom sa môžu správať rovnako. Keď sa názov preloží v jednej aplikácii a v inej na tom istom stroji zlyhá, porovnajte obe cesty prekladu, kým sa dotknete zásady.

Skontrolujte aj, či sa aplikácia nepripája k adrese z vyrovnávacej pamäte z predchádzajúcej relácie. Clear-DnsClientCache a potom to isté hľadanie dá čistejšiu odpoveď než usudzovanie zo zastaralého výsledku.

Testujte s názvom, ktorý zlyhal

Preložte presný názov hostiteľa zo správy, nie verejnú doménu na test rýchlosti, a poznamenajte, ktorý server odpovedal. Potom zmeňte jednu vec: pravidlo, zoznam adaptérov alebo priradenie zásady, a po opätovnom pripojení zopakujte to isté hľadanie, aby sa použitý stav znova zostavil.

Ak sa názov preloží a služba napriek tomu odmieta, prestaňte upravovať DNS. Ďalším užitočným krokom je adresa a cesta k nej, pretože preklad názvov už svoju prácu urobil.