Zakaj DNS po povezavi OpenVPN v sistemu Windows preneha delovati

Vrata 53 ne vodijo nikam, a razreševalnik se še vedno odziva na ping. Preverite, ali filtrira block-outside-dns, in nato zagotovite razreševalnik, ki ga tunel doseže.

Ping na pisarniški razreševalnik še vedno dobi odgovor po tem, ko se "OpenVPN" poveže, in vendar vsako iskanje imena spodleti. Naslov je dosegljiv, vrata pa ne, kombinacija, ki ima smisel, ko veste, da lahko Windows filtrira DNS po vmesniku. Če je v profilu block-outside-dns, je ta filter prvi osumljenec, usmerjevalna tabela pa napačno mesto za iskanje. Spodnja testa ločita plasti v nekaj sekundah.

Dosegljiv naslov, mrtva vrata

Uspešen ping dokazuje, da gostitelj deluje in da pot obstaja. O dovoljenju za dosego vrat 53 ne pove ničesar, ker obravnavani filter deluje na drugi plasti in je vezan na vmesnik. Zato se lahko isti stroj odziva na ICMP in zavrne vsako poizvedbo, poslano na isti naslov. Zaženite oba testa v isti seji, preden spremenite kakršno koli konfiguracijo.

ping <resolver-ip>
nslookup <name> <resolver-ip>

Ta par je diagnoza. Običajen promet v podomrežje se nadaljuje, medtem ko razreševanje imen umira, in ljudje sklepajo, da je strežnik pokvarjen ali da DNS ni bil nikoli poslan. Obe razlagi sta dragi za sledenje, dokazi pa kažejo na nekaj ožjega. Potrdite par, preden se dotaknete nastavitve.

Možnost je pravilo platforme za filtriranje

Referenca OpenVPN opisuje block-outside-dns kot omejitev Windows Filtering Platform, ki aplikacijam preprečuje dosego DNS na vmesnikih zunaj tunela. Pokriva TCP in UDP na vratih 53. Ker filter živi v WFP in ne v običajnem seznamu pravil požarnega zidu, dodajanje dovolitvenega pravila drugje ne spremeni nujno izida. Zato običajen nasvet, naj se DNS dovoli, še vedno spodleti.

Nastavitev lahko pride iz uvoženega profila ali s strežnika, datoteka, ki ste jo nazadnje urejali, pa "ni dokaz tega, kar je naložil odjemalec". Berite dejansko konfiguracijo in dnevnik povezave skupaj. Možnost je tudi specifična za Windows, obravnavanje kot prenosljive pa daje nasvete, ki ne veljajo.

Iščite komponento odjemalca, ki ima to omejitev, namesto da dodajate več pravil. Lastnik je stvar, ki jo res lahko odstrani.

Filter ni razreševalnik

Blokiranje prometa zunaj tunela v njem ne namesti delujočega razreševalnika. Možnost odstrani pot in pusti DNS-konfiguracijo tunela tistemu, ki je profil postavil. Profil, ki ni nikoli poslal razreševalnika, ga zdaj nima nobenega.

Pojdite skozi tri preverjanja po vrsti. Najprej, kateri razreševalnik dejansko uporablja aplikacija, ki spodleti. Nato, ali je odjemalec uporabil nastavitve DNS za VPN. Nazadnje, kateri vmesnik nosi promet do tega razreševalnika.

  1. Uporabljeni razreševalnik: primerjajte Resolve-DnsName -Server <resolver-ip> <name> s strežniki DNS, ki jih navaja ipconfig /all.
  2. DNS za VPN uporabljen: preglejte vnose DNS tunelskega vmesnika v istem izhodu ipconfig /all.
  3. Uporabljeni vmesnik: Find-NetRoute -RemoteIPAddress <resolver-ip> navede izhodni vmesnik za ta cilj.

Razreševalnik LAN postane po zasnovi nedosegljiv pod to politiko, tudi ko drug promet LAN deluje. To je možnost, ki opravlja svoje delo. Če zasnova potrebuje DNS prek VPN, popravite registracijo razreševalnika in pot tunela; če je potreben split DNS z lokalnimi izjemami, mora lastnik konfiguracije te izjeme izraziti na podprt način.

Česa možnost ne pokriva

Vrata 53 niso celotno razreševanje imen. DNS over HTTPS in DNS over TLS uporabljata drug prenos, nekatere aplikacije pa izvajajo lastno logiko razreševalnika ne glede na sistemske nastavitve. Brskalnik zato lahko razreši imena, ukazna vrstica pa ne.

To razliko obravnavajte kot diagnostiko in ne kot protislovje. Primerjajte oboje, preden sklepate, da je sistemski razreševalnik pokvarjen.

Pri pisanju ohranite sklep ozek. Ta možnost omejuje en prenos na eni platformi, preostanek razreševalne poti pa je ločeno vprašanje zasnove z lastnim lastnikom.

Preverite stanje pred odklopom in po njem

Zaženite isto iskanje med povezavo in znova po tem, ko se lastniški odjemalec odklopi. Prvo bi moralo pri zunanjem razreševalniku spodleteti, dokler je tunel pokonci, drugo pa bi moralo uspeti, ko je filter odstranjen. Če po odklopu še vedno spodleti, filter ni bil očiščen.

ipconfig /displaydns
nslookup <name> <resolver-ip>

Ponovni zagon odjemalske storitve ali stroja običajno očisti star filter. To potrdi diagnozo, ne da bi dokazalo trajno popravilo. Zapišite, kar ste videli, ker filter, ki preživi odklop, bo to ponovil, in prav zapis utemeljuje poročilo o napaki.

Šele po teh preverjanjih je smiselno zamenjati razreševalnik ali na novo zgraditi politiko požarnega zidu. Oboje so večje spremembe, kot jih dokazi podpirajo.

Sorodni članki