VPN је преузео DNS и покварио локална имена: поправите листу

Тунел се подиже, интранет се учитава, а име штампача престаје да се разрешава. Или обрнуто: локална имена још раде док све унутар корпоративне мреже истиче. Оба симптома долазе са истог места, листе резолвера коју је VPN клијент преписао при повезивању.

Поправите листу намерно, а затим се посебно позабавите push механизмом. Руте су трећа тема и нису оно што се овде поправља.

Коју листу апликације заиста користе

Windows разрешава кроз подешавања на нивоу интерфејса, а не кроз оно што приказује неки дијалог, зато почните са ефективним листама по интерфејсу. Алијас је важнији од приказаног имена, јер свака команда испод се обраћа интерфејсу. Погрешите алијас и поправка ће пасти на погрешан адаптер. Изгледаће да ради до следећег поновног повезивања, када се врати сопствени запис тунела.

Питање је који су сервери завршили напред и да ли су дошли као статични записи или као DHCP закуп. Обе чињенице одлучују која вам је поправка доступна.

netsh interface ipv4 show dnsservers
Get-DnsClientServerAddress -AddressFamily IPv4

Прочитајте излаз за адаптер тунела и за физички адаптер и запишите сваку адресу на сваком од њих. Статични запис се може уклонити политиком или скриптом; запис који даје DHCP везан је за закуп и вратиће се, што мења поправку коју треба да изаберете. Имена у удаљеној мрежи разрешава оглашени резолвер, имена на локалном LAN-у физички адаптер, а упит иде листи која се прва прегледа.

Уклоните гурнуте сервере или их поређајте ниже

Избришите гурнуте сервере када ништа у тунелу не треба њих, јер сопствени резолвери физичког адаптера поново преузимају. Задржите их само ако удаљена мрежа поседује зоне на које могу да одговоре једино њени сервери, и у том случају ставите локални резолвер испред њих. Две команде испод покривају оба избора, зато изаберите ону која одговара ситуацији уместо да покрећете обе.

netsh interface ipv4 delete dnsservers name="Corp VPN" address=all validate=no
netsh interface ipv4 add dnsservers name="Corp VPN" address=172.16.20.1 index=1 validate=no

Индекс 1 се прегледа први, па гурнуте адресе остају доступне али престају да буду подразумевани одговор на сваки упит. Заставица validate=no прескаче тест доступности који често пада док се тунел још стабилизује, зато потврдите резултат командом show уместо да верујете излазном коду.

Вреди знати два ограничења пре него што се на то ослоните. Windows неће избрисати сервере који су дошли преко DHCP кроз netsh, а те вредности остају као DhcpNameServer испод кључа регистра интерфејса, па је измена регистра последње средство које треба поново проверити после следећег закупа. Ни редослед повезивања адаптера није поуздан механизам рангирања, јер VPN клијент може да убаци свој запис на врх листе.

Где се push може филтрирати

Боља поправка уклања опцију пре него што се примени. Community OpenVPN клијент може да филтрира гурнуту директиву по имену, што оставља конфигурацију сервера нетакнутом.

pull-filter ignore "dhcp-option DNS "

Завршни размак припада поклапању и филтер именује опцију, а не адресу сервера. Ако профил садржи и директиву block-outside-dns, њено уклањање мења заштиту од цурења, а не разрешавање имена, зато одлучите о томе одвојено уместо да спојите две измене.

За једно тврдоглаво име домаћина, један ред у датотеци hosts Windows стабилнији је од преуређивања резолвера за целу машину. Такође је невидљив следећој особи, зато га забележите тамо где се документује конфигурација машине.

Учините да поправка преживи поновно повезивање

Разрешавање имена мора да се тестира двапут, једном против изабраног сервера и једном у облику који користи апликација. Тај пар одваја проблем редоследа резолвера од сервера који уопште не одговара. Ако се први тест прескочи, два узрока остају запетљана.

Resolve-DnsName intranet.corp.example -Server 172.16.20.1
Resolve-DnsName printer.lan

Поново повежите тунел и поновите обе команде. Оно што сте ручно променили важи само до следеће везе, јер клијент обнавља стање резолвера док подиже адаптер. Ставите линије netsh у подржану скрипту за повезивање вашег клијента, пустите ту скрипту да се успешно заврши и додајте кратко чекање пре него што се изврши. Клијент који примени DNS после скрипте ионако ће преписати резултат.

Ако се јавна имена разрешавају, а интерна и даље не успевају после поправке, листа резолвера више није осумњичени. Упит вероватно уопште не стиже до сервера, што указује на рутирање или правило заштитног зида, а не на још једно DNS подешавање. Забележите алијас интерфејса и адресе на којима сте стали, јер се оба разликују међу машинама и ниједно само не преживљава поновну изградњу.