Erzwingen Sie, dass die DNS-Auflösung außerhalb des VPN erfolgt

Ich habe eine ähnliche Situation, in der ich eine sehr schwerfällige Captive-Portal-WLAN-Verbindung mit einer sehr schwerfälligen, sehr gruseligen virtuellen Firewall verwenden muss. Es schnüffelt nicht nur sichere Verbindungen aus, es imitiert DNS-Server-IPs unter Verwendung von DPI (wenn es die Anfrage erkennt).

Das einzige, was für mich funktioniert, ist, über das VPN/die Firewall zu gehen, anstatt zu versuchen, sich darunter zu schleichen, indem ich dnscrypt-proxy verwende, der nur DNS-über-HTTPS verwendet, da es das dnscrypt-Protokoll erkennen kann. Im Moment ist DNS-over-HTTPS überhaupt nicht bekannt.

Ich implementiere es mit einem LaunchAgent, der /etc/resolve.confauf Änderungen achtet, und wenn er eine Änderung erkennt, startet er dnscrypt-proxy neu und führt dann networksetup -setdnsservers Wi-Fi 127.0.0.1.

Übrigens: Ich benutze Quad9 schon seit einiger Zeit und bevorzuge es Google und CloudFlare.

Bearbeiten: Nachdem ich ein bisschen mehr damit gespielt habe, bemerke ich, dass IPv6-Adressen irgendwie mit ::1einem DNS-Server aufgelöst werden (irgendwie habe ich nicht einmal herausgefunden, woher der Datenverkehr kommt), auch wenn es keine gibt andere DNS-Server eingestellt. Also wahrscheinlich besser, IPv6 einfach zu deaktivieren, wenn Sie können.

Bearbeiten 2:

Ja, ich denke, die Möglichkeit, diese Route aufzuteilen, könnte einfach zu viel mit der neueren VPN-Implementierung auf Systemebene zu tun haben. Ich denke, DNS-Proxy ist wahrscheinlich die beste Wahl. Es ist möglicherweise möglich, die Standardroute zu entfernen ipsec0und sie dann für einen eingeschränkten IP-Bereich wieder hinzuzufügen ... aber jedes Mal, wenn ich dies versuche (mit IKEv2, nicht AnyConnect, aber ich gehe davon aus, dass sie dieselbe API verwenden). nur ... hört auf.

Was den Restverkehr betrifft, vielleicht sein Rendezvous? sudo killall -HUP mDNSResponder; sudo launchctl unload -w /System/Library/LaunchDaemons/com.apple.mDNSResponder.plist?

Vielleicht können Sie auch eine App wie Shimo verwenden? Es ist mit Setapp verfügbar! Ich weiß nicht genau, wie AnyConnect funktioniert, aber es sagt, dass es es unterstützt, und es stehen Konfigurationsoptionen zur Verfügung, die genau das sind, wonach Sie für andere Protokolle suchen, einschließlich IKE, also ... vielleicht?

Die kurze Antwort ist, dass Sie diese Änderung wahrscheinlich nicht vornehmen können.

Dies ist eine sehr typische Situation, in der die verwalteten Einstellungen eine Split-VPN-Tunnel-Situation nicht zulassen . Wenn Sie sich buchstäblich mit dem VPN-Gateway verbinden, stellt es sicher, dass Sie kein Netzwerkziel mehr erreichen können, mit Ausnahme des DNS und der Einstellungen, die sich auf dem anderen Endnetzwerk befinden, auf dem das VPN endet.

Um dies zu beheben, müssen Sie:

• Ändern Sie Ihre VPN-Konfiguration, um einen geteilten Tunnel zuzulassen - möglicherweise müssen die Netzwerkadministratoren diese Änderung segnen / wirksam machen.
• Schalten Sie das VPN überhaupt nicht ein
• Richten Sie eine virtuelle Maschine ein, damit Sie die Kontrolle über Ihr Betriebssystem behalten und nur dem Gastbetriebssystem erlauben, sich mit dem VPN zu verbinden
• Überzeugen Sie den Netzwerkadministrator, das DNS am anderen Ende an Ihre Bedürfnisse anzupassen (sekundär eine DNS-Einstellung, die Sie haben, bevor Sie sich mit VPN verbinden, die Weiterleitungen ändern usw.)
• Verwenden Sie einen anderen Client oder eine andere Client-Einstellung, um das Profil zu vermeiden, das Sie in Cisco ausführen (vorausgesetzt, Cisco lässt Sie die Konfiguration nicht ändern). - Erzwingen Sie die DNS-Server-IP, während Sie mit VPN verbunden sind

(Dies ist eine häufige Frage, die nie anders beantwortet wird als - verwenden Sie kein VPN, aber ich hoffe, es gibt eine Möglichkeit für Sie.)

• So überschreiben Sie die DNS-Resolver-Reihenfolge, während Sie mit L2TP VPN verbunden sind
• Yosemite-DNS-Auflösungsprobleme über IPSec-Tunnel/VPN
• Erzwingen Sie die DNS-Server-IP, während Sie mit VPN verbunden sind
• Mac OS X Mountain Lion – DNS-Auflösung verwendet falsche Reihenfolge bei VPN über DFÜ-Verbindung

Ihr VPN-Client registriert seinen DNS-Status mit scutil, und Sie können dasselbe Tool verwenden, um den DNS nach Ihren Wünschen zu ändern.

So listen Sie die derzeit registrierten DNS-Status auf:

scutil <<< list | awk '{ print $4 }' | egrep '^State:/.+/DNS$'

Ich weiß nicht, wie Sie Ihren eigenen Status registrieren und die anderen außer Kraft setzen können, aber Sie können alle registrierten Status ändern, um Ihren bevorzugten DNS-Server widerzuspiegeln, ganz einfach:

mydns=1.1.1.1
states=$(scutil <<< list | awk '{ print $4 }' | egrep '^State:.+/DNS$')
for state in $states ; do
  printf "d.init\nd.add ServerAddresses * ${mydns}\nset ${state}\nquit\n" | scutil
done

Dieser Code durchläuft die Liste der registrierten Staaten und überschreibt sie für jeden mit einem neuen, der nur den DNS-Server Ihrer Wahl enthält. Sie können auch Suchdomänen oder andere Optionen hinzufügen.

Sie können damit experimentieren scutil, indem Sie es in der Befehlszeile ausführen und eingeben help.