DNS-lektoets: 'n Resolver-naam is nie die roete nie

Drie reëlings geld as korrekte DNS vir 'n VPN-gebruiker: navrae na die operateur se resolver, navrae na 'n geënkripteerde resolver wat jy self gekies het, en split-DNS wat werkname na die organisasie stuur. 'n Lektoets rapporteer 'n resolver, en daardie enkele etiket kan nie sê watter reëling jy werklik het nie. Bepaal eers die bedoelde beleid en toets dan daarteen. Anders vergelyk jy 'n nommer met 'n gevoel.

Bepaal wat jy wou gehad het voordat jy die uitslag lees

Noem die beleid in een sin: alle name na die VPN-resolver, alle name na 'n gekose geënkripteerde resolver, of split-DNS waar interne name na die organisasie gaan. Elkeen is verdedigbaar vir 'n ander gebruiker, en elkeen lewer 'n ander verwagte antwoord. Sonder daardie sin lyk enige uitslag wat van 'n skermskoot in 'n forumpos verskil, kommerwekkend. Skryf die beleid neer voor die eerste toets.

'n Toets wat uitgevoer word voordat die beleid bepaal is, meet niks. Dit lewer 'n resolver-naam sonder enige verwysingspunt.

'n Resolver-naam bewys nie die pad of die ontvanger nie

Twee vrae is belangrik: wie het die navraag ontvang, en watter roete het dit gedra. 'n Derde-party-resolver kan deur die tonnel bereik word terwyl 'n instellingskerm die verskaffer se adres wys. Die etiket op 'n lektoets-bladsy beskryf die waarnemer se siening, nie jou roetertabel nie.

'n Blaaier kan sy eie geënkripteerde DNS gebruik terwyl werfverkeer deur die tonnel gaan, en gekaste antwoorde kan 'n bladsy laat laai sonder 'n nuwe opsoek. Daarom sê 'n publieke-IP-uitslag niks oor DNS nie. DoH en DoT beskerm die navraag op pad na die resolver, en daardie resolver sien steeds die name.

resolvectl status
resolvectl query example.com
dig +short example.com

Split-DNS maak verskeie resolvers korrek

'n Organisasie kan interne name na sy eie DNS stuur en alles anders elders heen. 'n Toets wat verskeie resolvers lys, kan dus die bedoelde beleid beskryf eerder as 'n fout. Vergelyk die waargenome stel met die gedokumenteerde split-DNS-reëls voordat jy iets afskakel. Om die interne resolver af te skakel sodat 'n toetsbladsy skoner lyk, breek private name.

Split-tunneling en split-DNS is verskillende keuses: een roeteer pakkette, die ander roeteer vrae. Om 'n tonnelroete te verander skuif nie 'n naamopsoek nie, en om die resolver te verander maak nie 'n webwerf-pad reg nie. IPv6 is 'n derde vraag, want 'n onbedoelde IPv6-verbinding is nie outomaties 'n DNS-lek nie.

Maak die uitslag 'n ondersoek

Teken die bedoelde beleid en die blaaier se veilige-DNS-instelling aan voordat jy toets. Hardloop die toets met die tonnel aktief, let op elke resolver wat dit noem, en vergelyk die stel met die beleid eerder as met 'n enkele verwagte adres.

Herhaal na 'n herverbinding as dit is wanneer die simptoom verskyn, want 'n beleid wat by verbinding toegepas is, kan later verlore gaan. Gebruik die kliënt se dokumentasie vir interne DNS-uitsonderings in plaas daarvan om die instellings te raai.

Maak die wanverhouding reg wat jy gevind het: 'n blaaierkeuse, 'n VPN-DNS-instelling of 'n split-DNS-reël. As navrae moet stop wanneer die tonnel faal, is die kill switch 'n aparte instelling, en DNS-konfigurasie alleen sal dit nie verskaf nie. Die RFC 8484-spesifikasie is nuttig wanneer jy moet verduidelik wat 'n geënkripteerde resolver verberg en wat nie.