DNS nie działa w sieci VPN

DNS nie działa w sieci VPN wskazuje na tunel niekonfigurujący poprawnie serwera DNS po stronie klienta — trzeba go ustawić ręcznie w profilu połączenia VPN.

DNS nie działa w sieci VPN – co oznacza ten problem

Komunikat lub objaw „DNS nie działa w sieci VPN” oznacza, że urządzenie może mieć aktywne połączenie z tunelem, ale nie potrafi zamienić nazw stron i usług na adresy IP. W takiej sytuacji dostęp do zasobów może być pozornie przerwany: po wpisaniu adresu witryny w przeglądarce nic się nie otwiera, aplikacja nie odnajduje serwera, a połączenie z niektórymi usługami firmowymi nie dochodzi do skutku. Jednocześnie komunikacja z konkretnym adresem IP może działać prawidłowo, ponieważ problem dotyczy mechanizmu rozpoznawania nazw, a niekoniecznie samego tunelu.

DNS, czyli Domain Name System, pełni rolę katalogu internetowego. Na podstawie nazwy, takiej jak nazwa witryny albo wewnętrznego zasobu organizacji, wyszukiwany jest właściwy adres IP. Po uruchomieniu VPN klient powinien otrzymać odpowiednią konfigurację DNS, często wskazującą serwery dostępne wyłącznie przez tunel. Jeżeli ustawienia nie zostaną przekazane, zostaną odrzucone albo będą kolidowały z konfiguracją używaną poza VPN, nazwy mogą nie być rozwiązywane.

Nie zawsze oznacza to konieczność ręcznego wpisywania serwera DNS w systemie. W wielu rozwiązaniach poprawne ustawienia powinny zostać dostarczone przez profil VPN, skrypt połączeniowy lub konfigurację serwera. Ręczna zmiana może pomóc w diagnozie, ale zastosowanie przypadkowego publicznego DNS może uniemożliwić dostęp do zasobów wewnętrznych, które wymagają firmowego serwera nazw. Z tego powodu najpierw warto ustalić, czy problem dotyczy wszystkich domen, wyłącznie zasobów wewnętrznych, czy tylko jednego urządzenia.

Jak działa DNS podczas korzystania z VPN

W zwykłym połączeniu internetowym zapytania DNS są zazwyczaj kierowane do serwera wskazanego przez router, dostawcę internetu albo lokalną konfigurację systemu. Po uruchomieniu VPN sposób obsługi tych zapytań może się zmienić. W trybie pełnego tunelowania ruch, w tym zapytania DNS, jest kierowany przez VPN. W trybie dzielonego tunelowania tylko wybrane adresy lub domeny przechodzą tunelem, a pozostała komunikacja korzysta z lokalnego połączenia. Błąd pojawia się wtedy, gdy zasady routingu i konfiguracja DNS nie są ze sobą zgodne.

Przykładowo, nazwa wewnętrznego zasobu może być rozpoznawana wyłącznie przez serwer DNS dostępny po połączeniu VPN. Jeżeli system nadal wysyła zapytanie do lokalnego routera, taki serwer nie zna prywatnej strefy DNS i zwraca brak odpowiedzi albo informację, że nazwa nie istnieje. Odwrotna sytuacja również jest możliwa: zapytania trafiają do serwera wewnętrznego, który nie obsługuje publicznych domen lub nie ma dostępu do odpowiednich przekazań.

Znaczenie ma także kolejność interfejsów sieciowych, priorytet tras, mechanizm rozpoznawania nazw używany przez system oraz sposób, w jaki dany klient VPN integruje się z systemem operacyjnym. Czasem połączenie jest aktywne, lecz pozostają stare wpisy pamięci podręcznej DNS. Innym razem kilka aktywnych interfejsów przekazuje sprzeczne informacje o tym, który serwer powinien obsługiwać zapytania. Dlatego sama zmiana adresu DNS bez sprawdzenia tras i statusu tunelu może usunąć jeden objaw, ale pozostawić przyczynę.

Rozróżnienia wymaga też awaria DNS od awarii routingu. Jeżeli nie działa zarówno nazwa, jak i bezpośredni adres IP, problem może dotyczyć trasy przez tunel, zapory, uwierzytelnienia albo dostępności zasobu. Jeżeli adres IP odpowiada, a nazwa nie, większe prawdopodobieństwo dotyczy konfiguracji DNS, domen wyszukiwania lub lokalnej pamięci podręcznej.

Typowe przyczyny i błędy konfiguracji DNS w VPN

Jedną z częstszych przyczyn jest niepełny lub nieprawidłowy profil VPN. Może on nie zawierać adresów serwerów DNS, domen wyszukiwania albo reguł określających, które zapytania mają być kierowane tunelem. Zdarza się także, że profil został przygotowany dla innej wersji klienta, innego systemu lub odmiennego modelu tunelowania. Po aktualizacji aplikacji VPN ustawienia mogą zostać zapisane, ale nie zostać zastosowane do aktywnego interfejsu.

Problemy powodują również konflikty między siecią lokalną a siecią dostępną przez VPN. Jeżeli obie używają podobnego zakresu adresów lub tej samej nazwy domenowej, system może wybrać niewłaściwą trasę. W efekcie zapytanie dociera do lokalnego urządzenia zamiast do serwera dostępnego po VPN. Niekiedy połączenie działa po przełączeniu na inną sieć, co wskazuje na konflikt tras lub ustawień routera, a nie na trwałą awarię samego klienta.

Do typowych błędów należą także:

• pozostawienie aktywnej konfiguracji poprzedniego połączenia VPN;
• zapisanie serwera DNS w niewłaściwym profilu sieciowym;
• brak dostępu do serwera DNS z powodu reguł zapory;
• odrzucanie zapytań przez serwer, który wymaga połączenia z określonej podsieci;
• nieprawidłowe domeny wyszukiwania przy korzystaniu z krótkich nazw hostów;
• uszkodzona lub nieodświeżona pamięć podręczna DNS;
• jednoczesne działanie kilku klientów VPN albo dodatkowych programów filtrujących ruch;
• rozbieżność między ustawieniami IPv4 i IPv6.

Wstępna diagnostyka powinna obejmować sprawdzenie, czy VPN otrzymał adres, czy interfejs tunelowy jest aktywny oraz jakie serwery DNS są aktualnie używane. Pomocne jest porównanie rozwiązywania nazwy przed połączeniem, po połączeniu oraz po rozłączeniu VPN. Warto też sprawdzić, czy problem dotyczy domen publicznych, nazw wewnętrznych, czy obu grup. Odświeżenie pamięci podręcznej DNS może usunąć objaw przejściowy, ale nie naprawi brakującej trasy ani błędnego profilu.

Nie powinno się też bez rozpoznania wyłączać zabezpieczeń, usuwać wszystkich tras ani zastępować firmowego DNS przypadkowym adresem. Takie działania mogą utrudnić późniejsze ustalenie przyczyny, a dodatkowo mogą spowodować wyciek zapytań DNS poza tunel. W środowisku, w którym VPN służy do dostępu do prywatnych zasobów, istotne jest zachowanie zgodności między konfiguracją klienta, serwera VPN, zaporą oraz usługą DNS.

Kiedy warto zgłosić DNS w VPN do serwisu

Do serwisu warto zgłosić problem, gdy DNS przestaje działać po każdorazowym uruchomieniu VPN, gdy dostęp do internetu działa bez tunelu, lecz znika po jego aktywacji, albo gdy tylko wybrane domeny pozostają niedostępne. Szczególnie uzasadniona jest konsultacja, jeśli połączenie VPN jest oznaczone jako prawidłowe, ale nie można otworzyć zasobów wewnętrznych, korzystać z aplikacji wymagających nazw hostów lub połączyć się z urządzeniami dostępnymi wyłącznie w prywatnej sieci.

Przed przekazaniem sprzętu warto zanotować nazwę używanego klienta VPN, moment wystąpienia problemu, informację o tym, czy błąd dotyczy jednej sieci czy wielu, oraz przykłady niedziałających nazw. Przydatne będzie również wskazanie, czy połączenie przez bezpośredni adres IP działa oraz czy problem występuje na innych urządzeniach korzystających z tego samego VPN. Takie dane ułatwiają odróżnienie błędu systemowego od problemu po stronie serwera VPN lub infrastruktury sieciowej.

W Warszawskim Pogotowiu Komputerowym 24/7 można zlecić sprawdzenie konfiguracji sieciowej laptopa, działania klienta VPN, tras oraz ustawień DNS; w przypadku laptopa wykonywana jest darmowa diagnoza LAPTOPA. W ramach rozpoznania można ustalić, czy przyczyną jest lokalna konfiguracja, konflikt interfejsów, pamięć podręczna, zapora, profil VPN czy brak poprawnych ustawień po stronie administratora. Dopiero po takim rozróżnieniu można bezpiecznie dobrać dalsze działanie, na przykład korektę profilu, odtworzenie ustawień sieciowych albo przekazanie administratorowi precyzyjnej informacji o błędzie połączenia.