Sizning bo'lingan tunelingiz ilovaga yetadi, lekin uning DNS serveriga yetmaydi
Bo'lingan tunel ilova subnetini marshrutlab, yonidagi rezolverni baribir tashlab ketishi mumkin. Xost marshrutini qo'shing, so'ng Windows aslida qaysi serverni tanlashini tekshiring.
Ilova subnetini marshrutlash bo'lingan tunelning ravshan qismi, va bu butun ish emas. Rezolver ko'pincha o'zi xizmat qiladigan ilovadan boshqa manzilda o'tiradi, shuning uchun ishlaydigan tunnel qidiruvni uning tashqarisida qoldirishi mumkin. Faqat 10.80.0.0/16 ni olib yuruvchi profil 10.90.0.53 uchun so'rovni mahalliy interfeys orqali chiqaradi, u yerda xususiy zona yo'q. Rezolver yo'lini qo'shing, so'ng muammoning ikkinchi yarmiga qarang: mijoz aslida qaysi serverni tanlaydi.
Afsona: bitta marshrut butun xizmatni qoplaydi
Bo'lingan tunel — ulanish orqali o'tadigan manzillar ro'yxati, xizmat tavsifi emas. Ilova subneti va rezolver manzili ikki manzil, va profil birini ikkinchisisiz olib yurishi mumkin. Bu sodir bo'lganda, ilova manzil bo'yicha yetib boriladi, lekin uning nomi hal bo'lmaydi, bu marshrutlash bo'shlig'idan ko'ra DNS nosozligiga o'xshaydi.
Rezolver atrofidagi subnet ham avtomatik qoplanmaydi. Bitta manzilga xost marshruti shu rezolver uchun yetarli va uning qo'shnilarini ochmaydi. Xost marshrutining ma'nosi shu: dizayni bo'yicha tor, va keyingi xizmat shu subnetda paydo bo'lganda unutish oson.
Qidiruv ishlashi uchun uch narsa to'g'ri bo'lishi kerak: mijoz rezolver manzilini tunnel orqali marshrutlaydi, shlyuz bu so'rovni qabul qiladi va uzatadi, rezolver esa olgan manbani qabul qiladi. Javob ham kelishilgan yo'l bilan qaytishi kerak. Ulardan biri bo'lmasa, alomat bir xil, shuning uchun konfiguratsiyaga tegishdan oldin manzillar jadvalini yozib qo'yish arziydi.
Profil qaysi manzillarni olib yurishini aniqlang
Manzillarni tartib bilan sanang: ilova tarmog'i, rezolver manzili va tunnelni o'zi tugatadigan umumiy so'nggi nuqta. Uchinchisi hech qachon tunnel ichiga marshrutlanmasligi kerak, chunki tashqi ulanish tunnelgacha mavjud bo'lgan yo'lni talab qiladi.
| Destination | Coverage this example needs |
|---|---|
| Application network | 10.80.0.0/16 through the VPN |
| Private resolver | 10.90.0.53/32 through the VPN |
| Public VPN endpoint | Normal internet path, outside the tunnel |
DNS uchun UDP va TCP ikkalasini ham qo'shing, chunki amalga oshirishlardan UDP bilan birga TCP qo'llab-quvvatlashi kutiladi, bloklangan TCP yo'li esa toza emas, sekin va qismiy nosozliklar beradi. Xususiy zona IPv6 orqali ham xizmat qilinsa, ekvivalent xost istisnosi IPv6 manzili va prefiksini ishlatadi va alohida yozuv hisoblanadi.
Biror narsa qo'shishdan oldin profil nimalarni qamrab olganini yozib qo'ying. Takroriy marshrut zararsiz, lekin kutilmagan mavjud marshrut profil sizga berilgan manzil rejasidan boshqa reja uchun tuzilganini aytadi.
Xost marshrutini ulanish egasi orqali qo'shing
Mahalliy boshqariladigan asl Windows profili uchun marshrut kompyuterning global marshrutlash jadvaliga emas, ulanishga tegishli. Avval qo'shimchani oldindan ko'ring, so'ng profil ishlatadigan aynan shu qamrov bilan qo'llang.
Add-VpnConnectionRoute -ConnectionName 'Office VPN' -DestinationPrefix '10.90.0.53/32' -WhatIf Get-VpnConnection -Name 'Office VPN' | Select-Object -ExpandProperty Routes
Birinchi buyruq hech narsa o'rnatmasdan o'zgarishni oldindan ko'rsatadi, ikkinchisi profil hozir olib yurgan marshrutlarni sanaydi. Microsoft'ning Add-VpnConnectionRoute bo'yicha ma'lumotnomasi har bir foydalanuvchi va barcha foydalanuvchilar qamrovlarini hujjatlashtiradi; barcha foydalanuvchilar profili o'z qamrov parametriga muhtoj, va barcha foydalanuvchilar profiliga qarshi har bir foydalanuvchi buyrug'i muvaffaqiyatsiz bo'ladi yoki noto'g'ri joyga tushadi.
Profil boshqarilsa yoki sotuvchi mijozi orqali kelsa, o'zgarish o'sha egaga tegishli. Doimiy tizim marshrutini ulanish siyosati ustiga qo'yish siyosat qayta qo'llanilguncha va marshrut yo'qolguncha ishlaydi, bu odatda sinov paytida emas, qo'llab-quvvatlash qo'ng'irog'i paytida sodir bo'ladi. Bu nosozlik jim: marshrut yo'qoladi, nom hal bo'lishni to'xtatadi, va hech kim ikki hodisani bog'lamaydi. O'zgarishni egasining o'z yozuviga qo'ying, keyingi qayta qo'llash uni o'chirish o'rniga olib yursin.
Qo'llagandan keyin marshrut kuchga kirdi deb taxmin qilish o'rniga profilni qayta ulang. Jonli ulanishda marshrut o'zgarishlari har doim ham qabul qilinmaydi, qayta ulanish foydalanuvchilaringiz aslida bo'ladigan holatni ham qayta hosil qiladi.
Mijoz aslida qaysi rezolverni ishlatganini tekshiring
Marshrut rezolverga manzillangan paketlarni boshqaradi. Qaysi nomlar u yerga yuborilishini u hal qilmaydi, va bu tanlov alohida mexanizm. Windows'da amaldagi nomlar fazosi qoidalari har bir domen uchun rezolverni tanlashi mumkin, profilning DNS sozlamalari esa standart qiymat beradi. Bu ikki qatlam hech qanday xato chiqarmasdan kelishmasligi mumkin, shuning uchun to'g'ridan-to'g'ri so'rov dalilning yarmi xolos.
Get-DnsClientNrptPolicy Resolve-DnsName app.svc.example -Server 10.90.0.53 -Type A
Birinchi buyruq amaldagi nomlar fazosi siyosatini chop etadi, ikkinchisi xususiy rezolverdan ilova nomini to'g'ridan-to'g'ri so'raydi. To'g'ridan-to'g'ri javob yo'l va rezolver ishlayotganini isbotlaydi; ilovaning o'z qidiruvi o'sha serverni tanlaganini isbotlamaydi. Uni xuddi shu nomning oddiy qidiruvi va ilova oladigan javob bilan solishtiring.
Keshlar va brauzer darajasidagi xavfsiz DNS ni hisobga oling, u foydalanuvchi tergan nomlar uchun tizim rezolverini butunlay chetlab o'tishi mumkin. Qidiruv qo'shimchasi yana bir chalg'ituvchi belgi: u qisqa nomni to'liq malakali nomga kengaytiradi va qaysi server javob berishiga hech qanday aloqasi yo'q.
Oxirida qayta ulanib oddiy qidiruvni takrorlang, so'ng oddiy ko'rish hali ham o'z tasdiqlangan siyosatiga amal qilishini tasdiqlang. Aloqasiz nom hal bo'lishi uchun xususiy rezolverni umumiy bilan almashtirish tuzatish emas, va u xususiy so'rovlarni hech qachon borishi kerak bo'lmagan joyga jimgina ko'chiradi.