Windows'ta OpenConnect DNS ayarlarını gerçekte kim uygular?

Tüneli ayağa kaldırmak, DNS değerlerini yüklemekle aynı şey değildir. OpenConnect pazarlık eder ve Windows tarafındaki bir yardımcı uygular. Bu iki adım arasındaki boşluk, bu istemcideki özel ad hatalarının çoğunu açıklar ve yardımcı neredeyse hiçbir zaman Windows VPN ayarları sayfası değildir.

Ağ geçidinin sunduğunu Windows'un yüklediğinden ayırın

İstemci bağlantı verilerini bir betik arayüzüne verir ve Unix ile Windows sürümleri ayrı programlardır. Windows'ta uygulama genellikle, herhangi bir adaptöre dokunmadan önce iç DNS sunucusu ve iç etki alanı gibi değişkenleri okuyan bir JavaScript yardımcısıdır. Tünelin kendisinde hiçbir şey çözümleyici durumunu yazmaz.

Bu ayrım önemlidir çünkü bir değer pazarlıkta bulunup adaptöre hiç ulaşmayabilir. Eksik olan, yarı yolda başarısız olan veya bir GUI sarmalayıcısına gömülü eski bir kopya olan yardımcı, Windows'u tam olarak olduğu gibi bırakır. Oturum bağlı görünür, özel ad hâlâ yerel sağlayıcı üzerinden çözülür ve istemci penceresinde hiçbir şey farkı ima etmez. Yardımcının kendi çıktısını okumak, hangi aşamanın koptuğunu öğrenmenin tek güvenilir yoludur.

Bir GUI sarmalayıcısı istemcinin ve yardımcının kendi kopyasını getirebilir, bu yüzden diskte başka bir yerdeki ikinci openconnect.exe hiçbir şey kanıtlamaz. Yapılandırmasını yargılamadan önce oturumu başlatan çalıştırılabilir dosyayı bulun.

Çözümleyici durumunu değiştirmeden okuyun

Üç salt okunur sorgu olağan karışıklığı kapsar ve her biri farklı bir soruyu yanıtlar:

Get-DnsClientServerAddress -AddressFamily IPv4
Get-DnsClient | Select-Object InterfaceAlias, ConnectionSpecificSuffix
Get-DnsClientNrptPolicy -Effective

Adaptör düzeyindeki sunucu, çoğu insanın VPN DNS'inden anladığı şeydir. Bağlantıya özgü sonek, kısa bir adın hiç genişletilip genişletilmeyeceğine karar verir. Ad alanı ilke listesi, bağdaştırıcı sırasından bağımsız olarak eşleşen adlara uygulanır ve oradaki boş sonuç, yardımcı hiçbir zaman bir tane oluşturmayı amaçlamadıysa kusur değildir. Düzenlemeden önce üçünü de okumak, belirtiyi yalnızca başka bir yere taşıyan bir onarımı önler.

Tam nitelikli adla başlayın. FQDN çözülüyor ve kısa ad çözülmüyorsa boşluk, sunucu adresi değil sonek ya da arama listesidir.

İkinci adım olarak amaçlanan sunucuya doğrudan sorun, zaten yüklü olan herhangi bir çözümleyici aracıyla. Doğrudan yanıt, sunucunun erişilebilir ve bölge için yetkili olduğunu kanıtlar. Bir uygulamanın varsayılan olarak hangi sunucuya sorduğu konusunda hiçbir şey kanıtlamaz.

Bağlantıya sahip bileşeni adlandırın

İki düzen yaygındır. Uçbirimden başlatılan istemci betik yolunu açıkça geçirir, böylece sahibi çalıştırılan komutta görünür. Paketlenmiş bir uygulama istemciyi sizin için başlatır ve yardımcıyı kendi dizininde tutar; bu da satıcının ne zaman değişeceğine karar verdiği anlamına gelir.

Herhangi bir şeyi değiştirmeden önce yardımcı sürümlerini kurulumlar arasında karşılaştırın. Dosya adı tanıdık göründüğü için bir aynadan alınan yardımcıyı yükseltilmiş haklarla çalıştırmak, bir DNS boşluğunu güvenlik olayına dönüştürür.

Sahip bilindiğinde onarım hedefi açık hale gelir: başlatıcıda desteklenen bir betik yolu, bir paket güncellemesi veya ağ geçidinde düzeltilmiş bir profil. Hiçbiri adaptör özelliklerini elle düzenlemeyi gerektirmez.

Adaptörü değil sahibi onarın

Adaptöre elle ayarlanan DNS genellikle bağlantı kesintisinden sonra da kalır, bu yüzden çalışıyor gibi görünür ve sonra bir sonraki ağda sorun çıkarır. Her arayüze vidalanan genel bir çözümleyici, özel ad alanı sorununu çözmek yerine gizler. Yardımcı hiç DNS değeri almadıysa bakılacak yer ağ geçidi profilidir. Aldıysa ve adaptör hâlâ eski sunucuyu gösteriyorsa, yardımcı bağlanırken başarısız oldu ve istemci günlüğü bunu genellikle tünel kurulum satırlarının yakınında kaydeder.

Durumu desteklenen yoldan yeniden oluşturun, ardından tam bir döngü doğrulayın: bağlanın, özel FQDN'yi çözün, hizmeti açın, bağlantıyı kesin ve adaptörün önceki sunucularıyla geri döndüğünü onaylayın.

Gerçekte başarısız olan uygulamayı kontrol edin

Kendi şifreli DNS ayarına sahip bir tarayıcı yukarıdakilerin hepsini yok sayar ve genel bir çözümleyiciden yanıt vermeye devam eder. Tünel açılmadan önceki önbelleğe alınmış olumsuz yanıtı tutan bir uygulama da aynı şekilde davranır. Çözümleyici adreslerini yeniden değiştirmeden önce bunu aynı makinedeki sade bir sistem sorgusuyla karşılaştırın.

Sistem sorgusu doğru ve uygulama yanlışsa, kalan arıza VPN yolunda değil o uygulamanın DNS yapılandırmasındadır.