النفق المنقسم يستثني المتصفح لا استعلامات DNS الخاصة به

المتصفح مستثنى من النفق، وصفحة عنوان IP العام تؤكد أن حركته تخرج عبر اتصال المنزل، ومع ذلك لا تفتح الويكي الداخلية. ذهب تحليل الأسماء إلى مكان آخر، وذلك المكان هو عادةً المُحلِّل الذي ضبطه VPN. مسار البيانات ومسار التحليل قراران منفصلان في معظم تصاميم النفق المنقسم. تحقّق من أيّهما استخدمه المتصفح فعلًا قبل أن تصف الاستثناء بأنه معطوب.

مسار البيانات ومسار التحليل ينفصلان

الاستثناء يزيل حزم التطبيق من النفق، وهذا قرار توجيه وجدار ناري على مسار البيانات. تحليل الأسماء عملية بحث مختلفة: يسأل أحد العمليات مُحلِّل النظام، وذاك المُحلِّل يقرر أي خادم يتلقى السؤال.

قد يكون الاثنان مقصودين ومختلفين. قد يُبقي نشرٌ وظيفي نطاقات الأسماء الداخلية على المُحلِّل المؤسسي بينما يرسل تصفحًا عامًا مختارًا خارج النفق، تحديدًا لأن الأسماء الداخلية لا تُحلّ في أي مكان آخر. الحالة المُربكة هي العكس: موقع عام يفشل لأن المتصفح لم يسأل قط المُحلِّل الذي توقعه النشر. سجّل المسار والمُحلِّل بشكل منفصل، وسيختفي نصف الجدل.

اعرف أي عملية تطرح السؤال

يمكن للمتصفح أن يستخدم مُحلِّل النظام، أو خدمة DNS المشفرة الخاصة به، أو مُحلِّلًا يخصصه نظام التشغيل لكل شبكة. الأول يتبع سياسة المنصة، والثاني يتجاوز تلك السياسة كليًا، والثالث يعتمد على الوصلة التي يُوجَّه إليها الاستعلام.

resolvectl status
resolvectl query intranet.example.net
dig +short +time=2 intranet.example.net @10.52.0.2
scutil --dns | head -n 40

اقرأ التكوين الفعّال قبل الاختبار: أي الوصلات تحمل خوادم DNS، وأي نطاقات أسماء تدّعي، وهل تتجاوز سياسة لكل اسم الإعداد الافتراضي. على لينكس يستخدم DNS المنقسم نطاقات التوجيه؛ وعلى ويندوز يؤدي جدول سياسة تحليل الأسماء المهمة نفسها للنطاقات. لا يظهر أي منهما في صفحة اختبار التسريب.

حدّد أي مُحلِّل يجب أن يرى أي اسم

اكتب التعيين المقصود قبل تغيير أي شيء: الأسماء الداخلية إلى المُحلِّل المؤسسي، والأسماء العامة إلى الخدمة التي تسمح بها السياسة، والاستثناءات مع مسؤول عنها. بدون تلك القائمة يصبح كل وسم في اختبار التسريب جدالًا سياسيًا لا يستطيع أحد حسمه.

ثم افحص إعداد المتصفح نفسه، لأن DNS المشفر في المتصفح يُطبَّق قبل أن يتلقى نظام التشغيل الاستعلام. المستخدم الذي فعّله للالتفاف على بوابة احتجاز قد تجاوز بهدوء المُحلِّل الذي اختاره النشر. ذلك قرار تكوين وليس تسريبًا، ويستحق قرارًا لا قائمة حظر.

لا تعد كتابة كل حقل DNS لجعل وسم اختبار واحد يتحول إلى الأخضر. الوصف يخص استعلامًا واحدًا من عملية واحدة في لحظة واحدة.

تحقّق من الاستعلام والاتصال بشكل منفصل

اختبر المسارين بشكل مستقل. يُظهر اختبار الاتصال مسار البيانات، ويُظهر اختبار المُحلِّل من تلقى الاسم.

curl -sS --max-time 8 https://api.ipify.org
resolvectl query example.net
dig +short example.net

اسأل المُحلِّل صراحةً أيضًا، حتى يُنسب الفشل إلى الخادم لا إلى المسار. ثم أعد تشغيل المتصفح وكرّر، لأن التطبيقات تخزّن الإجابات السلبية مؤقتًا ويبدو الفشل القديم مستمرًا.

بعد تغيير معتمد، سجّل مسار البيانات، ثم متلقي المُحلِّل كسطرين منفصلين مع التاريخ. إذا عاد السلوك عند إعادة الاتصال التالية، فالملف الشخصي الذي يوفّره هو ما يجب إصلاحه، لا المتصفح.