اختبار تسرب DNS: اسم المُحلِّل ليس المسار

ثلاثة ترتيبات تُعدّ DNS صحيحًا لمستخدم VPN: استعلامات إلى مُحلِّل المشغّل، واستعلامات إلى مُحلِّل مشفَّر اخترته بنفسك، وDNS منقسم يرسل أسماء العمل إلى المؤسسة. يبلِّغ اختبار التسرب عن مُحلِّل واحد، ولا يستطيع هذا التصنيف الواحد أن يخبرك أي ترتيب لديك فعلًا. حدِّد السياسة المقصودة أولًا، ثم اختبر مقابلها. وإلا فأنت تقارن رقمًا بشعور.

حدِّد ما أردته قبل أن تقرأ النتيجة

سمِّ السياسة في جملة واحدة: كل الأسماء إلى مُحلِّل VPN، أو كل الأسماء إلى مُحلِّل مشفَّر مختار، أو DNS منقسم تذهب فيه الأسماء الداخلية إلى المؤسسة. كل واحدة قابلة للدفاع لمستخدم مختلف، وكل واحدة تُنتج إجابة متوقعة مختلفة. بدون تلك الجملة، تبدو أي نتيجة تختلف عن لقطة شاشة في منشور منتدى مقلقة. اكتب السياسة قبل الاختبار الأول.

اختبار يُجرى قبل تعريف السياسة لا يقيس شيئًا. إنه يُنتج اسم مُحلِّل بلا أي نقطة مرجعية.

اسم المُحلِّل لا يثبت المسار ولا المستلم

سؤالان مهمّان: من تلقّى الاستعلام، وأي مسار حمله. يمكن الوصول إلى مُحلِّل طرف ثالث عبر النفق بينما تعرض شاشة الإعدادات عنوان المزوّد. التصنيف على صفحة اختبار التسرب يصف رؤية المراقب، لا جدول التوجيه لديك.

يمكن للمتصفح أن يستخدم DNS المشفَّر الخاص به بينما تمرّ حركة الموقع عبر النفق، ويمكن للإجابات المخزَّنة مؤقتًا أن تسمح بتحميل صفحة دون بحث جديد. لهذا لا تقول نتيجة عنوان IP العام شيئًا عن DNS. يحمي DoH وDoT الاستعلام أثناء انتقاله إلى المُحلِّل، وما زال ذلك المُحلِّل يرى الأسماء.

resolvectl status
resolvectl query example.com
dig +short example.com

DNS المنقسم يجعل تعدُّد المُحلِّلات صحيحًا

قد ترسل مؤسسة الأسماء الداخلية إلى DNS الخاص بها وكل شيء آخر إلى مكان آخر. لذلك فإن اختبارًا يسرد عدة مُحلِّلات قد يصف السياسة المقصودة لا عيبًا. قارن المجموعة المرصودة بقواعد DNS المنقسم الموثَّقة قبل تعطيل أي شيء. إيقاف المُحلِّل الداخلي لتجعل صفحة الاختبار تبدو أنظف يكسر الأسماء الخاصة.

النفق المنقسم وDNS المنقسم خياران مختلفان: أحدهما يوجّه الحزم والآخر يوجّه الأسئلة. تغيير مسار النفق لا ينقل بحث الاسم، وتغيير المُحلِّل لا يصلح مسار موقع ويب. IPv6 سؤال ثالث، لأن اتصال IPv6 غير المقصود ليس تلقائيًا تسرب DNS.

حوِّل النتيجة إلى تحقيق

سجِّل السياسة المقصودة وإعداد DNS الآمن في المتصفح قبل الاختبار. شغِّل الاختبار والنفق نشط، ولاحظ كل مُحلِّل يذكره، وقارن المجموعة بالسياسة لا بعنوان واحد متوقع.

أعِد الاختبار بعد إعادة الاتصال إذا كان العَرَض يظهر حينها، لأن سياسة تُطبَّق عند الاتصال يمكن أن تُفقد لاحقًا. استخدم وثائق العميل للاستثناءات الداخلية لـ DNS بدلًا من تخمين الإعدادات.

أصلح عدم التطابق الذي وجدته: خيار في المتصفح، أو إعداد DNS في VPN، أو قاعدة DNS منقسم. إذا كان يجب أن تتوقف الاستعلامات عند فشل النفق، فإن مفتاح الإيقاف إعداد منفصل، وإعداد DNS وحده لن يوفّره. مواصفة RFC 8484 مفيدة عندما تحتاج إلى شرح ما يخفيه المُحلِّل المشفَّر وما لا يخفيه.