Vendos DNS-në në një përshtatës VPN të Windows me PowerShell dhe më pas verifiko

Një lidhje VPN e Windows nuk i ruan serverët DNS në profilin që redakton te Cilësimet. Kur tuneli ngrihet, klienti negocion konfigurimin IP me portën, porta dërgon një listë zgjidhësish dhe Windows e zbaton atë te përshtatësi i tunelit. Ky përshtatës është një ndërfaqe e veçantë nga Wi-Fi ose Ethernet-i yt, dhe lista i përket ndërfaqes, jo profilit. Pasi të dish cili objekt e zotëron vlerën, mbishkrimi i saj në PowerShell është një komandë e vetme; ta bësh mbishkrimin t'i mbijetojë një rilidhjeje është pjesa që kërkon një vendim.

Cili objekt e zotëron adresën

RAS e krijon përshtatësin e tunelit kur lidhja ka sukses dhe e heq kur lidhja bie. Serverët DNS që sheh në ipconfig /all vijnë gjatë asaj shkëmbimi konfigurimi, pranë adresave IPv4 dhe IPv6 dhe rrugëve. Meqenëse vlera është e lidhur me ndërfaqen, Set-DnsClientServerAddress shkruan në diçka që ekziston vetëm sa kohë ekziston lidhja.

Ky fakt i vetëm shpjegon pjesën më të madhe të konfuzionit rreth DNS-së së VPN-së. Profili mund të inspektohet ndërsa je i shkëputur, por nuk ka ndërfaqe ku të tregosh, kështu që një skript hyrjeje që thërret cmdlet-in kundër aliasit të VPN-së dështon para se të jetë lidhur ndonjë. Shpjegon gjithashtu një ndryshim që duket se kthehet mbrapsht: asgjë nuk u kthye, ndërfaqja u shkatërrua dhe u rindërtua me vlerat që dërgoi porta.

Gjej aliasin para se të prekësh DNS-në

Emri i profilit dhe aliasi i ndërfaqes zakonisht janë i njëjti varg, por nuk janë i njëjti objekt. Get-VpnConnection liston profilet; Get-NetAdapter liston ndërfaqet që Windows ka në të vërtetë. Cmdlet-ët DNS duan të dytin, dhe të dy largohen nga njëri-tjetri më shpesh nga sa presin njerëzit, sidomos kur klienti i shton një përshkrues si "(RAS)" emrit të përshtatësit.

Nëse profili nuk ekziston, PowerShell mund të krijojë një zë vendës. Lloji i tunelit dhe vërtetimi duhet të përputhen me atë që ofron porta, sepse një mospërputhje shfaqet në kohën e lidhjes dhe jo në kohën e krijimit:

Add-VpnConnection -Name "Corporate" -ServerAddress vpn.example.net `
  -TunnelType Ikev2 -EncryptionLevel Required `
  -AuthenticationMethod Eap -AllUserConnection

Lidhu një herë dhe më pas lexo aliasin e vërtetë para se të shkruash ndonjë komandë DNS:

rasdial.exe "Corporate"
Get-NetAdapter | Where-Object InterfaceDescription -like "*VPN*"
Get-DnsClientServerAddress -InterfaceAlias "Corporate"

Zbato mbishkrimin në rendin e duhur

Rendi ka më shumë rëndësi sesa sintaksa. Përshtatësi duhet të jetë i ngritur, aliasi duhet të zgjidhet dhe llogaria duhet të lejohet të ndryshojë cilësimet e ndërfaqes. Një lidhje për përdorues zakonisht e pranon ndryshimin nga përdoruesi i identifikuar; një lidhje për të gjithë përdoruesit e krijuar me -AllUserConnection zakonisht kërkon një shell të ngritur.

Vetë cmdlet-i është një rresht i vetëm, i dokumentuar te referenca e Set-DnsClientServerAddress e Microsoft-it:

Set-DnsClientServerAddress -InterfaceAlias "Corporate" -ServerAddresses 10.20.0.53,10.20.0.54
Get-DnsClientServerAddress -InterfaceAlias "Corporate" -AddressFamily IPv4

Dy mënyra dështimi ia vlen t'i njohësh me një sy. Një alias i gabuar prodhon një gabim nga cmdlet-i, dhe ky është rezultati i mirë, sepse heshtja do të ishte më e keqe. Një cmdlet i saktë pa efekt të dukshëm zakonisht do të thotë se po shikon përshtatësin e gabuar: një përshtatës tuneli i mbetur nga një klient tjetër, një kartë rrjeti fizike me përshkrim të ngjashëm, ose një përshtatës i dytë virtual i krijuar nga një mjet rrjeti në sandbox.

Pse një rilidhje mund ta anulojë ndryshimin

Mbishkrimi i përket një instance të vetme të ndërfaqes. Kur klienti e çmonton përshtatësin dhe e rindërton në lidhjen tjetër, vlerat e dërguara zbatohen përsëri dhe lista jote zhduket. Disa klientë e rikrijojnë ndërfaqen në çdo lidhje; të tjerë e ripërdorin për gjithë jetëgjatësinë e sesionit. Krahaso indeksin e ndërfaqes në Get-NetAdapter midis dy lidhjeve dhe do ta dish se cilën sjellje ke.

Ekzistojnë tre përgjigje të qëndrueshme, dhe grumbullimi i tyre krijon defekte të vetat. Një sufiks DNS specifik për lidhjen plus një rregull NRPT dërgon vetëm hapësirën e brendshme të emrave te zgjidhësi i brendshëm dhe i lë emrat publikë të qetë. Një cilësim i Politikës së Grupit ose MDM i zbatuar te lidhja VPN e vendos DNS-në në kohën e lidhjes pa asnjë skript. Një detyrë e planifikuar që reagon ndaj ngjarjes së lidhjes dhe e ekzekuton përsëri cmdlet-in është opsioni i ashpër, por funksionon dhe lë një regjistër. Zgjidh një pronar të vetëm për DNS-në dhe shkruaj cili është.

Emrat e brendshëm me një etiketë kanë gjithashtu nevojë për një listë kërkimi të prapashtesave. Set-DnsClientGlobalSetting -SuffixSearchList vlen për të gjithë makinën, kështu që ndryshon zgjidhjen për çdo përshtatës në makinë, përfshirë Ethernet-in. Testoje në një makinë laboratori përpara se të hyjë në një imazh.

Verifiko zgjidhjen, jo vetëm cilësimin

Një zgjidhës i listuar në një përshtatës provon vetëm se një vlerë është shkruar. Pyet serverin e synuar drejtpërdrejt dhe më pas pyet përmes rrugës normale:

Resolve-DnsName server01.corp.example -Server 10.20.0.53
Resolve-DnsName server01.corp.example

Ndarja të tregon ku ndodhet defekti. Pyetja e drejtpërdrejtë përgjigjet dhe pyetja e thjeshtë dështon: cilësimi i përshtatësit ose lista e prapashtesave nuk është në fuqi. Të dyja dështojnë: zgjidhësi nuk arrihet përmes tunelit, ndaj shiko rrugët dhe rregullat e murit të zjarrit para se të prekësh përsëri DNS-në. Pyetja e drejtpërdrejtë dështon ndërsa ajo e thjeshtë përgjigjet nga diku tjetër: DNS-ja e ndarë është konfiguruar gabimisht dhe një emër i brendshëm po përgjigjet nga një zgjidhës publik, gjë që është problem politike para se të jetë problem lidhjeje.

Ekzekuto testin dy herë, një herë menjëherë pas lidhjes dhe një herë pas një shkëputjeje dhe rilidhjeje, dhe krahaso daljen e Get-DnsClientServerAddress nga të dyja ekzekutimet. Nëse vlera e dërguar është kthyer në lidhjen e dytë, mbishkrimi jetoi dhe vdiq me përshtatësin, dhe do të qëndrojë vetëm rregulli NRPT ose rruga e politikës nga seksioni i mëparshëm. Ruaj të dyja transkriptet dhe vulat kohore të lidhjes; ato e zgjidhin pyetjen nëse mbetet më shpejt se një raund tjetër redaktimesh.