Windows VPN da noto'g'ri DNS server: metrika, bog'lash tartibi yoki qo'shimcha
Windows ning uch mexanizmi DNS hal qiluvchini tanlaydi va ular turlicha ishdan chiqadi. Nom maydoni qamrovi, global tartib yoki tuzatish qayta ulanishdan keyin saqlanishi bo'yicha qaror qiling.
Windows mijozi ishlaydigan tunnelga ega bo'lishi, korporativ hal qiluvchini olib yurishi va baribir ichki nomlarni uy routeriga yuborishi mumkin. Qaysi server javob berishini uch xil mexanizm hal qiladi va ular turlicha ishdan chiqadi. Uchtasini ham tuzatish shart emas: simptom qaysi biri o'yinda ekanini aytadi. Quyidagi qarorlar daraxti bir necha daqiqa oladi va odatiy natijaning oldini oladi: metrika o'zgarishi, reyestrni qayta tartiblash va NRPT qoidasi birga kelib, hech kim qaysi biri nima qilganini bilmaydi.
Uch mexanizm hal qiladi va odatda bittasi xato
Interfeys metrikasi ma'lum manzillar oilasi uchun adapterlarni tartibga soladi. Tcpip\Linkage ostidagi bog'lash tartibi eski kod yo'llari hanuz ko'radigan mashina darajasidagi interfeys identifikatorlari ro'yxatidir. Nomlarni hal qilish siyosati jadvali (NRPT) nom maydonini aniq serverlarga bog'laydi, qo'shimchalar ro'yxati esa qisqa nom umuman kengaytirilishini hal qiladi. Ular mustaqil, shuning uchun VPN adapteridagi to'g'ri hal qiluvchi boshqa joydagi eskirgan afzallikka yutqazadi.
| What you see | Mechanism to check | First command |
|---|---|---|
| Every name is slow, public names sometimes wrong | Global adapter order: metric, then Linkage | Get-NetIPInterface |
| Internal names resolve to a public address | The query left through the home resolver, not the tunnel | Resolve-DnsName intranet.corp.example -Type A, then the same query with -Server 10.20.0.10 |
| Only corp.example names fail, public names fine | Namespace binding: NRPT or suffix | Get-DnsClientNrptRule |
| Short name fails, fully qualified name works | Suffix list on the adapter, with the corporate suffix ahead of other entries, or pushed by the server | Get-DnsClientGlobalSetting |
| Works, then breaks after a reconnect | Runtime setting that was never persisted | Get-VpnConnection for the stored profile, then Get-NetIPInterface again after a reconnect |
Bu mexanizmlarning hech biri tunnelning narigi tomoni emas. VPN itarib bergan server nomni hal qila olmasa, mijoz tomonidagi har qanday sozlama faqat bezak, shuning uchun birinchi qaror hal qiluvchining o'zi to'g'ridan-to'g'ri so'ralganda javob bera olishidir.
Birinchi qaror: itarib berilgan hal qiluvchi umuman javob bera oladimi?
Serverdan aniq so'rang va oddiy qidiruv bilan solishtiring. Javoblar orasidagi farq tanlov muammosini yetib borish muammosidan ajratadi va bu yerda eng tez shoxobcha shu:
Resolve-DnsName intranet.corp.example -Server 10.20.0.10 -Type A
Resolve-DnsName intranet.corp.example -Type AAgar birinchisi muvaffaqiyatli, ikkinchisi muvaffaqiyatsiz bo'lsa, hal qiluvchi yetib boriladigan va Windows yomon tanlayapti; quyidagi nom maydoni va tartib qarorlariga o'ting. Agar birinchisi ham muvaffaqiyatsiz bo'lsa, mijozda hech narsa yordam bermaydi: UDP va TCP 53 tunnel orqali serverga yetib borishini, serverdagi xost xavfsizlik devori hovuzni tashlab yubormasligini va serverning o'z yo'naltiruvchilari sog'lom ekanini tekshiring.
Shu shoxobchada to'xtang. Yetib bo'lmaydigan hal qiluvchiga NRPT qoidasini qo'llash o'sha nosozlikni ko'proq qaytariladigan sozlama bilan beradi va haqiqiy nuqsonni obro'li ko'rinadigan qoida ortiga yashiradi.
Ikkinchi qaror: bitta nom maydoni yoki har bir so'rov?
Qamrov asbobni hal qiladi. Faqat korporativ nomlar muvaffaqiyatsiz bo'lsa, mashinani qayta tartiblash o'rniga nom maydonini bog'lang: NRPT qoidasi o'sha qo'shimchani tunnel hal qiluvchisiga yuboradi va qolganini tinch qoldiradi. Har bir qidiruv zarar ko'rsa, muammo global adapter afzalligi, va metrika boshlash joyi, chunki u hech qanday server sozlamasini o'zgartirmaydi.
Metrikani har bir manzillar oilasi uchun, ikkala interfeysda o'rnating, so'ng tartibni tasdiqlang:
Get-NetIPInterface | Select-Object ifIndex, InterfaceAlias, AddressFamily, InterfaceMetric
Set-NetIPInterface -InterfaceIndex 11 -InterfaceMetric 1 -AddressFamily IPv4
Set-NetIPInterface -InterfaceIndex 11 -InterfaceMetric 1 -AddressFamily IPv611 ni yuqoridagi satrdan tunnel adapterining ifIndex qiymati bilan almashtiring; agar 11 LAN adapteri bo'lsa, xuddi shu buyruq noto'g'ri yo'lni tushiradi. Buning o'rniga LAN adapterini ko'tarish boshqa tomondan xuddi shu tartibga yetadi: netsh int ip set interface interface="Ethernet" metric=15, va ikkinchi oila uchun netsh int ipv6 set interface interface="Ethernet" metric=15, chunki int ip faqat IPv4 ga tegadi.
Bog'lash tartibi birinchi qadam emas, oxirgi chora. HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Linkage qurilma identifikatorlarining Bind ro'yxatini saqlaydi va tunnel identifikatorini oldinga ko'chirish haqiqatan ham qaysi adapter birinchi so'ralishini o'zgartiradi, ammo bu har bir nom maydoni uchun qamrovsiz mashina darajasidagi reyestr qiymati. Tahrirlashdan oldin uni eksport qiling va keyin tunnelni qayta ulang, tartib mijoz kutgan holatda amal qilishi uchun.
Bitta nom maydoni uchun torroq asbobni tanlang:
Add-DnsClientNrptRule -Namespace ".corp.example" -NameServers 10.20.0.10
Get-DnsClientNrptRule | Select-Object Namespace, NameServersUchinchi qaror: tuzatish qayta ulanishdan keyin ham saqlanadimi?
Keyingi telefon liniyasi orqali qayta ulanishgacha ishlaydigan metrika hech qachon saqlanmagan. L2TP/IPsec va boshqa ulanish profillari ulanish boshlanganda qaytadan yaratiladi, shuning uchun saqlangan qiymat telefon kitobi yozuvida IpInterfaceMetric sifatida yashaydi, faqat tirik interfeysda emas. Ba'zi muhitlar o'sha maydonni aynan shu sabab bilan skriptlaydi; boshqalari afzallikni boshqaruv siyosatidan itarib, oxirgi nuqtani tinch qoldiradi.
Kesh va ro'yxatga olish alohida qatlam. Tunnel ko'tarilgandan keyin ularni ishga tushirish eskirgan yozuvlarni tuzatadi va mijozni qayta ro'yxatdan o'tkazadi, ammo hech biri adapterni qayta tartiblamaydi:
ipconfig /registerdns
ipconfig /flushdnsXuddi shu qatlamda o'chirish kaliti bor. Jismoniy adapterda dinamik ro'yxatga olishni o'chirish mijozning VPN tomonidagi manzilini noto'g'ri nom ostida e'lon qilishini to'xtatadi va bu yuqoridagi yangilanishdan boshqa tuzatish.
IPv6 qarorda o'z satriga loyiq. Agar jismoniy adapterda global IPv6 manzili bo'lsa, tunnel esa faqat IPv4 tashisa, Windows nom hal qilish uchun tunnelsiz yo'lni afzal ko'rishi mumkin. O'sha oilani alohida tekshiring, chunki IPv4 uchun o'rnatilgan metrika u haqda hech narsa demaydi:
Get-NetIPInterface -AddressFamily IPv6 | Select-Object ifIndex, InterfaceAlias, InterfaceMetricLAN adapterida IPv6 ni o'chirish o'sha yo'lni va u bilan birga protokolni olib tashlaydi; IPv6 interfeysidagi metrika o'zgarishi yoki korporativ nom maydoni uchun NRPT qoidasi oilani saqlaydi va afzallikni tuzatadi. Torroqni tanlang, agar o'sha aloqa IPv6 ga ega bo'lmasligi kerak deb qaror qilmagan bo'lsangiz.
Nomlangan manba bilan tekshiring va bitta egasini saqlang
Sahifa yuklanadimi, yo'qmi bundan tashqari qaysi manba amalda ekanini bildiradigan asboblar bilan tekshiring:
ipconfig /all
Get-DnsClientServerAddress -AddressFamily IPv4
Resolve-DnsName fileserver.corp.example -Server 10.20.0.10 -Type ASo'ng filtrlashni tanlashdan ajrating, chunki ilova ichidan ikkisi bir xil ko'rinadi. OpenVPN ning block-outside-dns parametri boshqa adapterlarda 53 portni bloklaydi; u hal qiluvchi tanlamaydi. Agar endi har bir so'rov muvaffaqiyatsiz bo'lsa, filtr yagona yetib boriladigan serverni bloklayotgan bo'lishi mumkin; agar sozlangan hal qiluvchi e'tiborsiz qoldirilsa, tartib yoki nom maydoni qoidasi xato. Ikkisini birga o'zgartirish bloklangan so'rov bilan e'tiborsiz qoldirilgan so'rovni ajratib bo'lmaydigan qiladi.
DNS siyosati uchun bitta egasini saqlang: VPN profili, boshqaruv siyosati yoki NRPT qoidasi, ulardan ikkitasi emas. Yopishdan oldin:
- Itarib berilgan hal qiluvchi aniq nomlanganda javob beradi va oddiy qidiruv undan foydalanadi.
- Siz o'zgartirgan qoida yoki metrika so'rovlarni haqiqatan tashiyotgan manzillar oilasini qamrab oladi.
- Sozlama uzilish va qayta ulanishdan keyin saqlanadi, yoki siz uni saqlangan profilga ko'chirdingiz.
- Aynan bitta mexanizm obro'li, qolganlari esa qanday bo'lsa shunday qoldirilgan.
Tartibni tugatiladigan narsa emas, muhit holati deb qarang. Qayta ulangandan keyin va tarmoq stekiga tegadigan Windows yangilanishidan keyin uni qayta tekshiring, chunki ikkisidan biri jismoniy adapterni yana oldinga chiqarishi mumkin.