Bakit nagreresolve ang nslookup sa VPN pero hindi ang browser

Nagpapadala ang nslookup ng query sa server na pinangalanan mo at ipinapasa ang sagot, kaya maaari itong magtagumpay habang bawat tab ng browser ay nabibigo. Hinihiling ng browser sa operating system na mag-resolve, at tinatimbang ng system ang mga resolver ng bawat interface, mga tuntunin ng patakaran sa pag-resolve ng pangalan at ang lokasyon ng network ng adapter. Pagkatapos ay maaaring magdagdag ang browser ng sarili nitong naka-encrypt na DNS sa ibabaw. Tatlong magkaibang landas, isang sintomas, at ang tunnel ay karaniwang hindi ang sirang bahagi.

Sinusundan ng mga pagsusuri sa ibaba ang mga landas na iyon mula sa system palabas. Huwag i-edit ang profile ng VPN hanggang malaman mo kung aling landas ang sumagot at alin ang nabigo.

Tatlong patakaran ang nagpapasya sa sagot

Bawat interface ay may sariling listahan ng resolver at mga suffix ng paghahanap. Nagdadagdag ng mga server ang adapter ng VPN habang pinapanatili ng pisikal na adapter ang sarili nito, at maaaring kunin ng system ang unang sumagot, kaya ang isang paghahanap ay maaaring pagsilbihan sa labas ng tunnel nang walang pumili niyon. Maaaring magpadala ang mga tuntunin ng talahanayan ng patakaran sa pag-resolve ng pangalan ng mga piling domain sa mga piling server, ganoon karaniwang ipinapahayag ang split DNS sa Windows. At maaaring itulak ng kliyente o gateway ng VPN ang isang address ng resolver na umiiral lamang sa loob ng pribadong network.

Nag-uugnayan ang tatlong ito sa mga paraang mukhang arbitraryo mula sa browser. Ang isang resolver na itinulak sa pribadong address na walang ruta sa split tunnel ay nagpapahinto sa bawat paghahanap at pagkatapos ay nabibigo. Ang isang tuntunin ng patakaran na sumasaklaw sa panloob na suffix at tumuturo sa isang server na down ay gumagawa ng parehong nakikitang error na gaya ng nawawalang ruta. Isang suffix ng paghahanap na nawawala sa adapter ng VPN ay ginagawang pampublikong query sa maling domain ang isang maikling pangalan. Bawat isa ay nangangailangan ng ibang pagkukumpuni.

Bakit ibang tanong ang itinatanong ng browser

Naglalabas ang nslookup ng sarili nitong query sa server na pinipili nito at hindi sinusundan ang patakaran ng namespace o ang setting ng naka-encrypt na DNS ng browser. Ito ang dahilan kung bakit sumasagot ang manu-manong query sa pampublikong resolver habang ang browser ay nag-uulat na wala ang site. Naghahambing ka ng dalawang programa, hindi dalawang kalagayan ng isang programa.

Ang kagustuhan sa pamilya ng address ay nagpapaliwanag ng pagkaantala hindi ng kabiguan. Ang browser na unang humihingi ng mga record na IPv6 sa tunnel na nagdadala lamang ng IPv4 ay naghihintay na maubos ang timeout bago umurong. Ang Firefox ay may kagustuhan para mismo dito, at ang pagpapahinto nito ay hakbang sa diagnosis, hindi pagkukumpuni.

Basahin ang listahan ng resolver at ang mga tuntunin

Sa Windows, i-print kung ano ang hawak ng system bago magteorya. Ipinapakita ng Get-DnsClientServerAddress ang mga server bawat interface, inililista ng Get-DnsClientNrptRule ang mga tuntunin ng namespace, at sinasagot ng Resolve-DnsName ang eksaktong pangalan sa landas ng system. Ihambing ang sagot na iyon sa direktang query sa server ng VPN ayon sa address. Kapag nabigo ang Resolve-DnsName at nagtagumpay ang direktang query, ang suspek ay ang listahan ng resolver o isang tuntunin ng namespace.

Suriin din ang pangalan mismo. Ang panloob na maikling pangalan ay maaaring mangailangan ng pribadong suffix na ibinibigay lamang ng adapter ng VPN, habang ang ganap na kwalipikadong pangalan ay nagreresolve nang maayos. Ang babala sa sertipiko pagkatapos ng matagumpay na paghahanap ay kabilang sa ibang problema.

Ang hindi maabot na itinulak na resolver

Maaaring itulak ng gateway o kliyente ang isang address ng resolver, at ang address na iyon ay dapat maabot sa pamamagitan ng tunnel. Sa split tunnel, ang pribadong saklaw na naglalaman ng resolver ay maaaring wala sa mga kasamang ruta, na gumagawa ng paghahanap na hindi kailanman nakakakuha ng sagot. Kumpirmahin na umiiral ang ruta, pagkatapos ay itanong ang address na iyon partikular, sa pamamagitan ng tunnel. Ito ang kabiguang nasa likod ng error sa domain sa browser habang sumasagot pa rin ang pampublikong resolver.

Kung hindi maabot ang resolver, ang pagkukumpuni ay isang ruta o isang kasamang subnet, hindi ibang DNS server.

Nilalampasan ng naka-encrypt na DNS ang buong landas

Ang mga browser na may DNS-over-HTTPS ay nagreresolve ng mga pangalan mismo sa pamamagitan ng koneksyon ng HTTPS sa piniling provider. Kapag naka-on iyon, ang resolver ng system at ang mga tuntunin ng split DNS ay ganap na nilalampasan para sa mga paghahanap na iyon, kaya nabibigo ang mga panloob na pangalan sa browser habang tama silang nirereresolve ng operating system. Nangyayari rin ang kabaligtaran: nagtatagumpay ang mga panloob na pangalan sa browser sa pamamagitan ng provider na hindi dapat kailanman makakita ng mga iyon, at iyon ay problema sa patakaran, hindi sa konektividad.

Desisyunan nang may kamalayan kung pinapayagan ang naka-encrypt na DNS sa mga pinamamahalaang device, pagkatapos ay i-configure ito sa pamamagitan ng surface ng pamamahala ng browser upang makita ang pagpipilian. Ang pag-iiwan nito sa indibidwal na kagustuhan ay gumagawa ng fleet kung saan ang parehong VPN ay kumikilos nang iba sa bawat laptop.

Mga pagkukumpuning tumutugma sa kabiguan

Kung itinutulak ng VPN ang resolver nito, gawing nagdadala ang tunnel ng trapiko patungo rito at gawing nakikita ang parehong setting sa mga adapter na lumalahok sa pag-resolve. Kung ang mga lokal na site ay tumigil sa pag-resolve habang konektado ka, magdagdag ng tahasang mga eksepsiyon sa namespace o isang kondisyonal na forwarder sa halip na palitan ang resolver nang buo. Kung nilalampasan ng naka-encrypt na DNS ng browser ang patakaran, iyon ang setting na dapat baguhin. Huwag kailanman magdagdag ng pampublikong resolver upang ayusin ang isang panloob na pangalan: naglalabas ito ng mga pribadong query at hindi nirereresolve ang pangalan.

Pagkatapos ay paghiwalayin ang paghahanap sa koneksyon. Ang isang pangalan na nagreresolve sa tamang address ngunit tumatanggi sa koneksyon ay problema sa serbisyo, firewall o sertipiko, at hindi ito maaayos ng mga pagbabago sa DNS.

Itala kung aling landas ang sumagot, alin ang nabigo at kung ano ang binago mo. Ang susunod na ulat ng parehong sintomas ay tatagal ng isang utos sa halip na isang hapon.