Toets gesplete DNS sonder om interne name te lek

As jy 'n openbare resolver vir 'n interne naam vra, lek die naam en die reël wat jy wou toets, word oorgeslaan. Die navraag bereik 'n bediener wat jy nie beheer nie, die antwoord kom uit 'n naamruimte wat dit glad nie moes sien nie, en die uitslag sê niks oor of gesplete DNS werk nie. Om gesplete DNS te toets, beteken om die resolverpad te toets wat 'n toepassing werklik gebruik. Daardie pad word deur die bedryfstelsel gekies, deur die domeinlys op die VPN-profiel, en soms deur die blaaier.

Kies twee name en voorspel albei antwoorde eers

Vra die netwerkeienaar vir een gedokumenteerde interne toetsnaam, en kies 'n gewone openbare naam wat niks oor die organisasie sê nie. Skryf vooraf neer wat vir elkeen moet gebeur voordat jy enigiets laat loop: die interne naam moet die tonnel se resolver bereik en 'n interne adres teruggee, terwyl die openbare naam deur watter resolver die stelsel gewoonlik gebruik, opgelos moet word. Daardie twee voorspellings is die toets, want sonder hulle kan enige antwoord agterna gerasionaliseer word. Hou die paar dieselfde oor herhalings sodat 'n latere vergelyking iets beteken.

Kontroleer die effektiewe reëls eerder as die bedoelde reëls. Die domeinlys wat aan die VPN-verbinding gekoppel is bepaal watter agtervoegsels na watter resolver gaan, en 'n tikfout in daardie lys lewer 'n geloofwaardige maar verkeerde splitsing. Op 'n bestuurde toestel, gebruik die administrateur se diagnostiese pad, want plaaslike oorheersings kan by die volgende kontrole deur beleid teruggestel word.

Teken die voorspelling langs die waargenome antwoord in dieselfde kaartjie aan. 'n Toets sonder 'n voorspelling kan nie misluk nie, en 'n toets wat nie kan misluk nie, leer niks.

Toets die pad wat die toepassing gebruik, nie een bediener wat jy gekies het nie

'n Opdrag wat 'n resolver eksplisiet noem, toets daardie resolver en niks anders nie. Dit vertel jou of die interne bediener antwoord, wat nuttig is, en dit vertel jou nie of 'n toepassing die naam daarheen stuur nie. Toets eers deur die normale pad: los die interne naam op soos 'n toepassing dit sou doen, en los dan die openbare naam op dieselfde manier op. Eers daarna vra jy spesifieke bedieners om te vind waar die gedrag afwyk.

Blaaiers maak die prentjie ingewikkelder, want veilige DNS-instellings kan die stelselresolver heeltemal omseil. 'n Blaaier wat met sy eie geënkripteerde resolver opgestel is, sien nooit die splitsing nie, en die fout lyk soos 'n stukkende VPN-profiel. Kontroleer daardie instelling voordat jy die tonnel verander.

Herhaal die opsoek na herverbinding as herstel die vraag is. 'n Antwoord wat van voor die herverbinding gekas is, kan 'n korrek herstelde splitsing beter of slegter laat lyk as wat dit is.

Teken die antwoordkategorie aan, nie net sukses of mislukking nie

Skryf neer watter van vier dinge gebeur het: 'n interne adres, 'n openbare adres, 'n negatiewe antwoord of 'n verstryking. Elkeen het 'n ander betekenis. 'n Interne adres vir die interne naam is die verwagte sukses; 'n openbare adres vir 'n interne naam dui daarop dat die navraag die tonnel verlaat het; 'n negatiewe antwoord van die gesaghebbende bediener wys op 'n ontbrekende rekord eerder as 'n roeteringsfout; en 'n verstryking dui op bereikbaarheidsprobleme of 'n resolver wat die navraag nooit ontvang het nie. Sukses en mislukking is te grof om op te reageer.

Verreken kas voor jy 'n ontbrekende vars navraag interpreteer, want 'n negatiewe antwoord in die kas lyk identies aan 'n naam wat nie bestaan nie. Neem die antwoord vas voordat jy enigiets deur ondersteunde kontroles skoonmaak, want die eerste antwoord is die bewys.

Interpreteer die twee takke sonder om te raai

As die interne naam korrek opgelos word en die toepassing misluk steeds, het die resolver sy werk gedoen en die volgende verdagtes is roetes en regte op die hulpbron self. As die private naam 'n openbare resolver bereik het, word die splitsingsreël nie op daardie opsoek toegepas nie, so hersien die domeinlys en enige blaaierbeleid saam met die eienaar van die naamruimte. Daardie twee takke het verskillende eienaars, en daarom is dit belangriker om aan te teken watter een jy gesien het as om aan te teken dat iets gebreek het.

Bewaar die struktuur maar verwyder sensitiewe besonderhede uit gedeelde uitset: watter naamruimte, watter reël, watter antwoordkategorie. 'n Resolver-antwoord kan interne adresse en gasheername dra, en 'n kaartjie is 'n duursame tuiste vir albei.

Gee dan die resultaat aan die naamruimte-eienaar met die twee kategorieë wat jy waargeneem het en die name verwyder. Dit is 'n gesprek van vyf minute in plaas van 'n week se spekulasie.