Zakaj Windows pošilja vaša imena VPN na strežnik DNS, ki ga niste nikoli nastavili

Nastavite strežnik DNS na vmesniku VPN, se znova povežete, in zasebno ime še vedno prihaja iz pisarniškega razreševalnika, ki ga nihče ni nastavil na tem prenosniku. Rezultat je videti, kot da je bila nastavitev prezrta, in v nekem smislu je bila, ker je seznam vmesnikov nabor kandidatov in ne odločitev. Windows imena razrešuje s pravilom imenskega prostora, ki lahko za določeno pripono določi drug strežnik, in to pravilo se uporabi preden se upošteva nastavitev vmesnika. Iskanje pravila, ki je zmagalo, je delo za pet minut, ko veste, katero tabelo brati.

Kaj ste spremenili in kaj dejansko odloča

Naslov DNS na vmesniku pove odjemalcu, kam lahko ta vmesnik pošilja poizvedbe. Tabela pravil razreševanja imen pove odjemalcu, kam mora pošiljati poizvedbe za določen imenski prostor, in ocenjuje se po imenu, ne po vmesniku. Ko se pravilo ujema s pripono, ki ste jo vnesli, se uporabijo strežniki tega pravila in seznam vmesnikov za to iskanje ni več pomemben.

Zato lahko dve imeni na istem prenosniku v istem trenutku ubereta različni poti. Gostitelj pod poslovno pripono sledi svojemu pravilu; javno ime sledi privzeti poti, kar običajno pomeni vmesnik, ki odgovori prvi.

Kako tabela ujame ime

Pravila so ključena po imenskem prostoru in zmaga najbolj natančno ujemanje. Pravilo za corp.example velja za vpn.corp.example in ne velja za example.net. Pravilo z imenskim prostorom . pokriva vse, česar druga pravila ne pokrivajo, zato je najnevarnejši vnos na seznamu in tisti, ki ga je vredno preveriti, ko se nepovezano spletišče razreši skozi tunel.

Pravilo lahko nosi tudi komentar, pravilnik, ki vnos onemogoči, in varnostne nastavitve, ki nimajo nič skupnega z naslovi DNS. Onemogočeno pravilo ostane vidno v konfiguraciji, a brez učinka, zato je vnos, ki je na papirju videti pravilen, po spremembi profila lahko še vedno mrtev.

Berite veljavno tabelo, ne seznama želja

Nastavljena pravila in veljavna pravila sta dve različni vprašanji. Get-DnsClientNrptRule našteje, kaj na stroju obstaja. Get-DnsClientNrptPolicy -Effective pokaže, kaj bo odjemalec dejansko uporabil, z vrednostmi, združenimi iz pravilnika in krajevnih nastavitev.

Primerjajte pripono v tem izpisu z imenom, ki ga preizkušate, znak za znakom. Pravilo za corp.example ne ujame imena, ki se konča na corp.example.com, in pika na koncu na enem mestu in ne na drugem je dovolj, da se ujemanje spremeni.

Brez pravila Windows vpraša več kot en vmesnik

Ko se nobena stvar v tabeli ne poteguje za ime, lahko odjemalec pošlje poizvedbo skozi več vmesnikov in vzame prvi odgovor, ki prispe. Rezultat je odvisen od časa: isto ime se lahko v ponedeljek razreši z žičnega vmesnika in v torek iz tunela, in nič v konfiguraciji nobenega od vmesnikov ne pojasni razlike.

Obstajata dva izhoda. Dodajte pravilo za imenski prostor, da odločitev ne bo več tekma, ali izklopite vzporedno vedenje s pravilnikom odjemalca DNS in sprejmite počasnejšo, deterministično razrešitev. Prvo običajno bolje ustreza VPN s prepolovljenim tunelom, ker dokumentira namen, namesto da bi se zanašalo na vrstni red.

Poti, ki razreševalnik popolnoma obidejo

Brskalnik z vklopljenim varnim DNS razrešuje sam in Windows preda samo naslov, zato tabela pravil imena nikoli ne vidi. Odjemalci, zgrajeni na okoljih z lastnim razreševalnikom, se lahko vedejo enako. Ko se ime razreši v eni aplikaciji in spodleti v drugi na istem stroju, primerjajte obe poti razreševanja preden se dotaknete pravilnika.

Preverite tudi, ali se aplikacija povezuje z predpomnjenim naslovom iz prejšnje seje. Clear-DnsClientCache in nato isto iskanje da čistejši odgovor kot sklepanje iz zastarelega rezultata.

Preizkusite z imenom, ki je spodletelo

Razrešite točno ime gostitelja iz poročila, ne javne domene za preizkus hitrosti, in zabeležite, kateri strežnik je odgovoril. Nato spremenite eno stvar: pravilo, seznam vmesnikov ali dodelitev pravilnika, in po ponovni povezavi ponovite isto iskanje, da se uporabljeno stanje znova zgradi.

Če se ime razreši in storitev še vedno zavrača, prenehajte urejati DNS. Naslednji koristen korak je naslov in pot do njega, ker je razreševanje imen že opravilo svoje delo.