Vì sao Windows gửi tên VPN của bạn đến một máy chủ DNS mà bạn chưa bao giờ đặt

Bạn đặt máy chủ DNS trên bộ điều hợp VPN, kết nối lại, và tên riêng vẫn quay về từ trình phân giải của văn phòng mà không ai cấu hình trên máy tính xách tay này. Kết quả trông như thể thiết lập đã bị bỏ qua, và theo một nghĩa nào đó thì đúng là như vậy, vì danh sách bộ điều hợp là một tập ứng viên chứ không phải một quyết định. Windows phân giải tên qua một chính sách không gian tên có thể chỉ định máy chủ khác cho một hậu tố cụ thể, và chính sách đó được áp dụng trước khi thiết lập bộ điều hợp được xem xét. Tìm ra quy tắc đã thắng là công việc năm phút khi bạn biết phải đọc bảng nào.

Bạn đã thay đổi gì, và điều gì thực sự quyết định

Địa chỉ DNS trên bộ điều hợp cho máy khách biết giao diện đó có thể gửi truy vấn đến đâu. Bảng chính sách phân giải tên cho máy khách biết nó phải gửi truy vấn đến đâu cho một không gian tên nhất định, và bảng này được đánh giá theo tên chứ không theo bộ điều hợp. Khi một quy tắc khớp với hậu tố bạn đã nhập, máy chủ của quy tắc đó được dùng và danh sách bộ điều hợp không còn quan trọng cho lần tra cứu đó.

Đó là lý do hai tên trên cùng một máy tính xách tay có thể đi theo những đường khác nhau trong cùng một thời điểm. Máy chủ dưới hậu tố doanh nghiệp đi theo quy tắc của nó; một tên công khai đi theo đường mặc định, thường có nghĩa là bộ điều hợp trả lời trước.

Bảng khớp một tên như thế nào

Các quy tắc được khóa theo không gian tên, và kết quả khớp cụ thể nhất sẽ thắng. Một quy tắc cho corp.example áp dụng cho vpn.corp.example và không áp dụng cho example.net. Một quy tắc với không gian tên . bao trùm mọi thứ mà các quy tắc khác không bao, khiến nó trở thành mục nguy hiểm nhất trong danh sách và là mục đáng kiểm tra khi một trang không liên quan được phân giải qua đường hầm.

Một quy tắc cũng có thể mang chú thích, chính sách vô hiệu hóa mục đó, và các thiết lập bảo mật không liên quan gì đến địa chỉ DNS. Một quy tắc bị vô hiệu hóa vẫn hiển thị trong cấu hình nhưng không có tác dụng, nên một mục trông đúng trên giấy vẫn có thể không hoạt động sau khi đổi hồ sơ.

Đọc bảng hiệu lực, không phải danh sách mong muốn

Quy tắc đã cấu hình và quy tắc hiệu lực là hai câu hỏi khác nhau. Get-DnsClientNrptRule liệt kê những gì tồn tại trên máy. Get-DnsClientNrptPolicy -Effective cho thấy máy khách thực sự sẽ áp dụng gì, với các giá trị được hợp nhất từ chính sách và thiết lập cục bộ.

So sánh hậu tố trong đầu ra đó với tên bạn đang kiểm tra, từng ký tự một. Một quy tắc cho corp.example không bắt được tên kết thúc bằng corp.example.com, và một dấu chấm ở cuối ở một nơi mà không có ở nơi kia là đủ để thay đổi kết quả khớp.

Không có quy tắc, Windows hỏi nhiều hơn một bộ điều hợp

Khi không có gì trong bảng nhận tên đó, máy khách có thể gửi truy vấn qua nhiều giao diện và lấy câu trả lời đầu tiên đến. Kết quả phụ thuộc vào thời điểm: cùng một tên có thể phân giải từ bộ điều hợp có dây vào thứ Hai và từ đường hầm vào thứ Ba, và không có gì trong cấu hình của bộ điều hợp nào giải thích sự khác biệt.

Có hai lối ra. Thêm một quy tắc cho không gian tên để quyết định không còn là một cuộc đua, hoặc tắt hành vi song song qua chính sách máy khách DNS và chấp nhận phân giải chậm hơn nhưng xác định. Cách thứ nhất thường phù hợp hơn với VPN có đường hầm chia tách, vì nó ghi lại ý định thay vì dựa vào thứ tự.

Những đường bỏ qua hoàn toàn trình phân giải

Trình duyệt bật DNS bảo mật sẽ tự phân giải và chỉ đưa địa chỉ cho Windows, nên bảng quy tắc không bao giờ thấy tên đó. Các máy khách xây dựng trên môi trường có trình phân giải riêng cũng có thể hành xử như vậy. Khi một tên phân giải được trong ứng dụng này mà thất bại trong ứng dụng khác trên cùng một máy, hãy so sánh hai đường phân giải trước khi chạm vào chính sách.

Cũng hãy kiểm tra xem ứng dụng có kết nối đến địa chỉ đã lưu trong bộ nhớ đệm từ phiên trước hay không. Clear-DnsClientCache rồi tra cứu lại như cũ cho câu trả lời sạch hơn là suy đoán từ kết quả cũ.

Kiểm tra bằng chính tên đã thất bại

Phân giải tên máy chủ chính xác từ báo cáo, không phải một miền kiểm tra tốc độ công khai, và ghi lại máy chủ nào đã trả lời. Sau đó chỉ thay đổi một thứ: quy tắc, danh sách bộ điều hợp hoặc việc gán chính sách, rồi lặp lại đúng lần tra cứu đó sau khi kết nối lại để trạng thái đã áp dụng được dựng lại.

Nếu tên phân giải được mà dịch vụ vẫn từ chối, hãy ngừng sửa DNS. Bước hữu ích tiếp theo là địa chỉ và tuyến đến đó, vì phân giải tên đã làm xong phần việc của nó.