Зашто nslookup решава преко VPN-а, а прегледач не може

nslookup шаље упит серверу који наведете и штампа одговор, зато може успети док свака картица прегледача не успева. Прегледач тражи од оперативног система да реши, а систем одмерава резолвере по интерфејсу, правила политике решавања имена и мрежни положај адаптера. Затим прегледач може додати сопствени шифровани DNS. Три различита пута, један симптом, а тунел обично није покварени део.

Провере испод следе те путеве од система ка споља. Не уређујте профил VPN-а док не сазнате који је пут одговорио, а који није успео.

Три политике одлучују о одговору

Сваки интерфејс носи сопствену листу резолвера и суфиксе за претрагу. VPN адаптер додаје сервере док физички адаптер задржава своје, а систем може узети онај који први одговори, па се претрага може послужити изван тунела без ичијег избора. Правила табеле политике решавања имена могу слати изабране домене на изабране сервере, тако се split DNS обично изражава на Windows-у. А VPN клијент или гејтвеј могу прогурати адресу резолвера која постоји само унутар приватне мреже.

Та три делују на начине који из прегледача изгледају произвољно. Прогуран резолвер на приватној адреси без путање кроз split тунел чини да свака претрага застане и затим не успе. Правило политике које покрива интерни суфикс и показује на искључен сервер даје исту видљиву грешку као пут који недостаје. Суфикс за претрагу који недостаје на VPN адаптеру претвара кратко име у јавни упит за погрешан домен. Сваки од њих тражи другачију поправку.

Зашто прегледач поставља друго питање

nslookup издаје сопствени упит серверу који одабере и не следи ни политику именског простора ни подешавање шифрованог DNS-а прегледача. Зато ручни упит јавном резолверу одговара док прегледач пријављује да страница не постоји. Поредите два програма, а не два стања једног програма.

Претпоставка породице адреса објашњава кашњење, а не неуспех. Прегледач који прво тражи IPv6 записе на тунелу који носи само IPv4 чека истек времена пре него што се повуче. Firefox је имао такву претпоставку управо због тога, а њено искључивање је дијагностички корак, не поправка.

Прочитајте листу резолвера и правила

На Windows-у испишите шта систем држи пре теорисања. Get-DnsClientServerAddress приказује сервере по интерфејсу, Get-DnsClientNrptRule наводи правила именског простора, а Resolve-DnsName одговара на тачно име кроз системски пут. Упоредите тај одговор са директним упитом на сервер VPN-а по адреси. Када Resolve-DnsName не успе, а директни упит успе, сумњивац је листа резолвера или правило именског простора.

Проверите и само име. Интерно кратко име може тражити приватни суфикс који даје само VPN адаптер, док се потпуно квалификовано име добро решава. Упозорење о сертификату после успешне претраге припада другом проблему.

Недоступан прогуран резолвер

Гејтвеј или клијент могу прогурати адресу резолвера, и та адреса мора бити доступна кроз тунел. На split тунелу приватни опсег који држи резолвер можда није међу укљученим путањама, што даје претрагу која никада не добије одговор. Потврдите да пут постоји, затим упитајте ту адресу посебно, кроз тунел. То је неуспех иза грешке домена у прегледачу док јавни резолвер још одговара.

Ако је резолвер недоступан, поправка је пут или укључена подмрежа, а не други DNS сервер.

Шифровани DNS заобилази цео пут

Прегледачи са DNS-over-HTTPS сами решавају имена преко HTTPS везе са изабраним провајдером. Када је то укључено, системски резолвер и правила split DNS-а потпуно се заобилазе за те претраге, па интерна имена не успевају у прегледачу док их оперативни систем исправно решава. Догађа се и обрнуто: интерна имена успевају у прегледачу преко провајдера који их никада не би смео видети, а то је проблем политике, не повезаности.

Свесно одлучите да ли је шифровани DNS дозвољен на управљаним уређајима, затим га конфигуришите кроз интерфејс за управљање прегледачем да избор буде видљив. Препуштање индивидуалној склоности ствара флоту у којој се исти VPN понаша другачије на сваком преносном рачунару.

Поправке које одговарају неуспеху

Ако VPN прогура свој резолвер, учините да тунел носи саобраћај до њега и да иста поставка буде видљива на адаптерима који учествују у решавању. Ако локалне странице престану да се решавају док сте повезани, додајте изричите изузетке именског простора или условни прослеђивач уместо потпуне замене резолвера. Ако шифровани DNS прегледача заобилази политику, то је поставка коју треба променити. Никада не додајте јавни резолвер да поправите интерно име: он одаје приватне упите и не решава име.

Затим одвојите претрагу од везе. Име које се решава на исправну адресу али одбија везу проблем је услуге, заштитног зида или сертификата, а промене DNS-а га неће поправити.

Забележите који је пут одговорио, који није успео и шта сте променили. Следећи извештај о истом симптому тада тражи једну наредбу уместо целог поподнева.