Тэставанне раздзеленага DNS без уцечкі ўнутраных імёнаў

Запыт унутранага імені ў публічнага рэзалвера выдае імя і абыходзіць правіла, якое вы хацелі праверыць. Запыт дасягае сервера, які вы не кантралюеце, адказ прыходзіць з прасторы імёнаў, якая не павінна была яго бачыць, і вынік нічога не кажа пра тое, ці працуе раздзелены DNS. Тэставаць раздзелены DNS — значыць тэставаць шлях рэзалвера, які рэальна выкарыстоўвае праграма. Гэты шлях выбірае аперацыйная сістэма, спіс даменаў у профілі VPN, а часам і браўзер.

Выберыце два імёны і спачатку прадказаце абодва адказы

Папрасіце ў уладальніка сеткі адно дакументаванае ўнутранае тэставае імя і выберыце звычайнае публічнае імя, якое нічога не кажа пра арганізацыю. Запішыце, што павінна адбыцца з кожным, перш чым нешта запускаць: унутранае імя павінна дайсці да рэзалвера тунэля і вярнуць унутраны адрас, а публічнае імя павінна вырашацца праз той рэзалвер, які сістэма звычайна выкарыстоўвае. Гэтыя два прадказанні і ёсць тэст, бо без іх любы адказ можна потым апраўдаць. Трымайце пару нязменнай паміж запускамі, каб позняе параўнанне мела сэнс.

Правярайце сапраўдныя правілы, а не меркаваныя. Спіс даменаў, далучаны да падключэння VPN, вызначае, якія суфіксы ідуць да якога рэзалвера, і друкарская памылка ў гэтым спісе дае праўдападобнае, але няправільнае раздзяленне. На кіраванай прыладзе выкарыстоўвайце дыягнастычны шлях адміністратара, бо лакальныя перавызначэнні могуць быць скінутыя палітыкай пры наступнай праверцы.

Запішыце прадказанне побач з назіраным адказам у той жа заяўцы. Тэст без прадказання не можа праваліцца, а тэст, які не можа праваліцца, нічому не вучыць.

Тэстуйце шлях, які выкарыстоўвае праграма, а не адзін абраны вамі сервер

Каманда, якая відавочна называе рэзалвер, тэстуе толькі гэты рэзалвер і нічога больш. Яна кажа, ці адказвае ўнутраны сервер, што карысна, і не кажа, ці накіроўвае праграма імя туды. Спачатку тэстуйце праз звычайны шлях: вырашыце ўнутранае імя так, як гэта зрабіла б праграма, затым вырашыце публічнае імя гэтак жа. І толькі пасля гэтага запытвайце канкрэтныя серверы, каб знайсці, дзе паводзіны разыходзяцца.

Браўзеры ўскладняюць карціну, бо налады бяспечнага DNS могуць цалкам абыйсці сістэмны рэзалвер. Браўзер, наладжаны са сваім уласным шыфраваным рэзалверам, ніколі не бачыць раздзялення, і збой выглядае як зламаны профіль VPN. Праверце гэту наладу, перш чым змяняць тунэль.

Паўтарыце пошук пасля перападключэння, калі пытанне ў аднаўленні. Адказ, закэшаваны да перападключэння, можа зрабіць правільна адноўленае раздзяленне лепшым або горшым, чым яно ёсць.

Запісвайце катэгорыю адказу, а не толькі поспех або няўдачу

Запішыце, што з чатырох адбылося: унутраны адрас, публічны адрас, адмоўны адказ або тайм-аўт. Кожнае мае іншае значэнне. Унутраны адрас для ўнутранага імені — чаканы поспех; публічны адрас для ўнутранага імені падказвае, што запыт пакінуў тунэль; адмоўны адказ ад аўтарытэтнага сервера ўказвае на адсутны запіс, а не на збой маршрутызацыі; а тайм-аўт сведчыць пра праблему дасягальнасці або пра рэзалвер, які так і не атрымаў запыт. Поспех і няўдача — занадта грубыя катэгорыі, каб дзейнічаць па іх.

Улічвайце кэш, перш чым тлумачыць адсутнасць свежага запыту, бо адмоўны адказ у кэшы выглядае гэтак жа, як імя, якога не існуе. Захавайце адказ, перш чым нешта ачысціць праз падтрыманыя сродкі, бо першы адказ і ёсць доказ.

Тлумачце дзве галіны без здагадак

Калі ўнутранае імя вырашаецца правільна, а праграма ўсё роўна не працуе, рэзалвер зрабіў сваю справу, і наступныя падазроныя — маршруты і правы на самім рэсурсе. Калі прыватнае імя дасягнула публічнага рэзалвера, правіла раздзялення не ўжываецца да гэтага пошуку, таму перагледзьце спіс даменаў і любую палітыку браўзера разам з уладальнікам прасторы імёнаў. Гэтыя дзве галіны маюць розных уладальнікаў, і менавіта таму запісаць, якую з іх вы бачылі, важней, чым запісаць, што нешта зламалася.

Зацямняйце агульны вывад, захоўваючы структуру: якая прастора імёнаў, якое правіла, якая катэгорыя адказу. Адказ рэзалвера можа несці ўнутраныя адрасы і імёны хостаў, а заяўка — трывалае месца для абодвух.

Затым перадайце вынік уладальніку прасторы імёнаў з дзвюма назіранымі катэгорыямі і выдаленымі імёнамі. Гэта размова на пяць хвілін замест тыдня здагадак.