DNS sızması testi: Resolver adı marşrut deyil

VPN istifadəçisi üçün üç quruluş düzgün DNS sayılır: operatorun resolverinə sorğular, öz seçdiyiniz şifrələnmiş resolverə sorğular və iş adlarını təşkilata göndərən split DNS. Sızma testi bir resolver bildirir və bu tək etiket hansı quruluşda olduğunuzu deyə bilməz. Əvvəlcə nəzərdə tutulan siyasəti müəyyən edin, sonra ona qarşı test edin. Əks halda bir rəqəmi hisslə müqayisə edirsiniz.

Nəticəni oxumadan əvvəl nə istədiyinizi müəyyən edin

Siyasəti bir cümlə ilə adlandırın: bütün adlar VPN resolverinə, bütün adlar seçilmiş şifrələnmiş resolverə, ya da daxili adlar təşkilata gedən split DNS. Hər biri fərqli istifadəçi üçün müdafiə oluna bilər və hər biri fərqli gözlənilən cavab verir. O cümlə olmadan forum postundakı ekran şəklindən fərqlənən hər hansı nəticə həyəcanlı görünür. Siyasəti ilk testdən əvvəl yazın.

Siyasət müəyyən edilməzdən əvvəl aparılan test heç nə ölçmür. O, heç bir istinad nöqtəsi olmayan resolver adı verir.

Resolver adı nə yolu, nə də alıcını sübut edir

İki sual vacibdir: sorğunu kim aldı və hansı marşrut onu daşıdı. Üçüncü tərəf resolverinə tunel vasitəsilə çatmaq olar, halbuki parametrlər ekranı provayderin ünvanını göstərir. Sızma testi səhifəsindəki etiket müşahidəçinin görünüşünü təsvir edir, sizin marşrut cədvəlinizi yox.

Brauzer öz şifrələnmiş DNS-indən istifadə edə bilər, sayt trafiki isə tuneldən keçir, keşlənmiş cavablar isə səhifənin yeni axtarış olmadan yüklənməsinə imkan verə bilər. Buna görə ictimai IP nəticəsi DNS haqqında heç nə demir. DoH və DoT sorğunu resolverə gedən yolda qoruyur və o resolver hələ də adları görür.

resolvectl status
resolvectl query example.com
dig +short example.com

Split DNS çoxsaylı resolverləri düzgün edir

Təşkilat daxili adları öz DNS-inə, qalan hər şeyi başqa yerə göndərə bilər. Bir neçə resolveri sadalayan test buna görə qüsur deyil, nəzərdə tutulan siyasəti təsvir edə bilər. Nəyisə söndürməzdən əvvəl müşahidə olunan çoxluğu sənədləşdirilmiş split DNS qaydaları ilə müqayisə edin. Test səhifəsi daha təmiz görünsün deyə daxili resolveri söndürmək şəxsi adları pozur.

Split tunneling və split DNS fərqli seçimlərdir: biri paketləri, digəri sualları yönləndirir. Tunel marşrutunu dəyişmək ad axtarışını yerindən tərpətmir, resolveri dəyişmək isə veb sayt yolunu düzəltmir. IPv6 üçüncü sualdır, çünki təsadüfi IPv6 bağlantısı avtomatik olaraq DNS sızması deyil.

Nəticəni araşdırmaya çevirin

Testdən əvvəl nəzərdə tutulan siyasəti və brauzerin təhlükəsiz DNS parametrini qeyd edin. Testi tunel aktiv ikən aparın, adlandırdığı hər resolveri qeyd edin və çoxluğu tək gözlənilən ünvanla deyil, siyasətlə müqayisə edin.

Simptom məhz o vaxt görünürsə, yenidən qoşulduqdan sonra təkrarlayın, çünki qoşulma anında tətbiq olunan siyasət sonra itə bilər. Parametrləri təxmin etmək əvəzinə daxili DNS istisnaları üçün müştərinin sənədlərindən istifadə edin.

Tapdığınız uyğunsuzluğu düzəldin: brauzer seçimi, VPN DNS parametri və ya split DNS qaydası. Tunel sıradan çıxanda sorğular dayanmalıdırsa, kill switch ayrı parametrdir və yalnız DNS konfiqurasiyası onu təmin etməyəcək. Şifrələnmiş resolverin nəyi gizlətdiyini və nəyi gizlətmədiyini izah etmək lazım gələndə RFC 8484 spesifikasiyası faydalıdır.