Зашто Windows шаље ваша VPN имена на DNS сервер који никада нисте подесили

Подесите DNS сервер на VPN адаптеру, поново се повежете, а приватно име и даље долази од канцеларијског резолвера који нико није конфигурисао на овом лаптопу. Резултат изгледа као да је подешавање игнорисано, и у извесном смислу јесте, јер је списак адаптера скуп кандидата, а не одлука. Windows разрешава имена кроз политику именског простора која за одређени суфикс може да одреди други сервер, и та политика се примењује пре него што се подешавање адаптера узме у обзир. Проналажење правила које је победило је посао од пет минута када знате коју табелу да читате.

Шта сте променили и шта заиста одлучује

DNS адреса на адаптеру говори клијенту где би тај интерфејс могао да шаље упите. Табела политике разрешавања имена говори клијенту где мора да шаље упите за дати именски простор, и процењује се по имену, а не по адаптеру. Када правило одговара суфиксу који сте откуцали, користе се сервери тог правила и списак адаптера престаје да буде важан за то претраживање.

Зато два имена на истом лаптопу могу истог тренутка да иду различитим путевима. Домаћин под корпоративним суфиксом следи своје правило; јавно име следи подразумевани пут, што обично значи онај адаптер који први одговори.

Како табела упарује име

Правила су кључана по именском простору и побеђује најконкретније поклапање. Правило за corp.example примењује се на vpn.corp.example и не примењује се на example.net. Правило са именским простором . покрива све што друга правила не покривају, што га чини најопаснијим уносом на списку и оним који вреди проверити када се неповезани сајт разрешава кроз тунел.

Правило може да носи и коментар, политику која онемогућава унос, и безбедносна подешавања која немају везе са DNS адресама. Онемогућено правило остаје видљиво у конфигурацији али без дејства, па унос који на папиру изгледа исправно може остати неактиван после промене профила.

Читајте делотворну табелу, а не списак жеља

Конфигурисана правила и делотворна правила су два различита питања. Get-DnsClientNrptRule наводи шта постоји на машини. Get-DnsClientNrptPolicy -Effective показује шта ће клијент заиста применити, са вредностима спојеним из политике и локалних подешавања.

Упоредите суфикс у том излазу са именом које тестирате, знак по знак. Правило за corp.example не хвата име које се завршава на corp.example.com, и тачка на крају на једном месту а не на другом довољна је да промени поклапање.

Без правила Windows пита више од једног адаптера

Када ништа у табели не полаже право на име, клијент може да пошаље упит кроз неколико интерфејса и узме први одговор који стигне. Резултат зависи од времена: исто име може да се разреши са жичног адаптера у понедељак и из тунела у уторак, и ништа у конфигурацији ниједног адаптера не објашњава разлику.

Постоје два излаза. Додајте правило за именски простор да одлука престане да буде трка, или искључите паралелно понашање кроз политику DNS клијента и прихватите спорије, детерминистичко разрешавање. Прво обично боље одговара VPN-у са подељеним тунелом, јер документује намеру уместо да се ослања на редослед.

Путеви који потпуно заобилазе резолвер

Прегледач са укљученим безбедним DNS-ом разрешава сам и даје Windows-у само адресу, па табела правила никада не види име. Клијенти изграђени на окружењима са сопственим резолвером могу да се понашају исто. Када се име разреши у једној апликацији, а не успе у другој на истој машини, упоредите два пута разрешавања пре него што дирнете политику.

Проверите и да ли се апликација повезује на кеширану адресу из раније сесије. Clear-DnsClientCache и затим исто претраживање даје чистији одговор од закључивања из застарелог резултата.

Тестирајте са именом које није успело

Разрешите тачно име домаћина из извештаја, не јавни домен за тест брзине, и забележите који сервер је одговорио. Затим промените једну ствар: правило, списак адаптера или доделу политике, и после поновног повезивања поновите исто претраживање да се примењено стање поново изгради.

Ако се име разреши, а услуга и даље одбија, престаните да уређујете DNS. Следећи користан корак је адреса и пут до ње, јер је разрешавање имена већ обавило свој посао.