DNS লিক পরীক্ষা: রিজলভারের নামই রুট নয়

VPN ব্যবহারকারীর জন্য তিনটি ব্যবস্থাকে সঠিক DNS ধরা হয়: অপারেটরের রিজলভারে কোয়েরি, আপনার বেছে নেওয়া এনক্রিপ্টেড রিজলভারে কোয়েরি, এবং split DNS যা কাজের নামগুলো প্রতিষ্ঠানে পাঠায়। একটি লিক পরীক্ষা একটি রিজলভার রিপোর্ট করে, আর ওই একটি লেবেল আপনাকে বলতে পারে না আপনার কাছে আসলে কোন ব্যবস্থা আছে। আগে অভীষ্ট নীতি ঠিক করুন, তারপর তার বিপরীতে পরীক্ষা করুন। নাহলে আপনি একটি সংখ্যার সঙ্গে একটি অনুভূতির তুলনা করছেন।

ফল পড়ার আগে ঠিক করুন আপনি কী চেয়েছিলেন

নীতিটি এক বাক্যে নাম দিন: সব নাম VPN রিজলভারে, সব নাম বাছাই করা এনক্রিপ্টেড রিজলভারে, অথবা split DNS যেখানে অভ্যন্তরীণ নাম প্রতিষ্ঠানে যায়। প্রতিটি আলাদা ব্যবহারকারীর জন্য যুক্তিসঙ্গত, আর প্রতিটি আলাদা প্রত্যাশিত উত্তর দেয়। ওই বাক্য ছাড়া ফোরামের পোস্টে থাকা স্ক্রিনশট থেকে আলাদা যেকোনো ফল উদ্বেগজনক দেখায়। প্রথম পরীক্ষার আগেই নীতিটি লিখে রাখুন।

নীতি নির্ধারণের আগে করা পরীক্ষা কিছুই মাপে না। এটি কোনো রেফারেন্স পয়েন্ট ছাড়া একটি রিজলভারের নাম দেয়।

রিজলভারের নাম পথ বা প্রাপক কোনোটাই প্রমাণ করে না

দুটি প্রশ্ন গুরুত্বপূর্ণ: কোয়েরিটি কে পেল, এবং কোন রুট এটি বহন করল। সেটিংস স্ক্রিনে প্রদানকারীর ঠিকানা দেখালেও টানেলের ভেতর দিয়ে তৃতীয় পক্ষের রিজলভারে পৌঁছানো সম্ভব। লিক পরীক্ষার পাতার লেবেল পর্যবেক্ষকের দৃষ্টিভঙ্গি বর্ণনা করে, আপনার রাউটিং টেবিল নয়।

ব্রাউজার নিজের এনক্রিপ্টেড DNS ব্যবহার করতে পারে, যদিও সাইটের ট্রাফিক টানেল দিয়ে যায়, আর ক্যাশ করা উত্তর নতুন লুকআপ ছাড়াই পাতা লোড করতে দিতে পারে। এজন্যই পাবলিক-IP ফল DNS সম্পর্কে কিছুই বলে না। DoH ও DoT রিজলভার পর্যন্ত যাত্রায় কোয়েরি রক্ষা করে, আর সেই রিজলভার তবুও নামগুলো দেখে।

resolvectl status
resolvectl query example.com
dig +short example.com

Split DNS একাধিক রিজলভারকে সঠিক করে তোলে

একটি প্রতিষ্ঠান অভ্যন্তরীণ নাম তার নিজের DNS-এ পাঠাতে পারে আর বাকি সব অন্যত্র। তাই কয়েকটি রিজলভার তালিকাভুক্ত করা পরীক্ষা ত্রুটি নয়, অভীষ্ট নীতিই বর্ণনা করতে পারে। কিছু বন্ধ করার আগে পর্যবেক্ষিত সেটটি নথিভুক্ত split-DNS নিয়মের সঙ্গে মিলিয়ে দেখুন। পরীক্ষার পাতা পরিষ্কার দেখাতে অভ্যন্তরীণ রিজলভার বন্ধ করলে ব্যক্তিগত নাম ভেঙে যায়।

Split tunneling আর split DNS আলাদা পছন্দ: একটি প্যাকেট রুট করে, অন্যটি প্রশ্ন রুট করে। টানেলের রুট বদলালে নামের লুকআপ সরে না, আর রিজলভার বদলালে ওয়েবসাইটের পথ ঠিক হয় না। IPv6 তৃতীয় প্রশ্ন, কারণ অনিচ্ছাকৃত IPv6 সংযোগ স্বয়ংক্রিয়ভাবে DNS লিক নয়।

ফলটিকে তদন্তে পরিণত করুন

পরীক্ষার আগে অভীষ্ট নীতি ও ব্রাউজারের নিরাপদ-DNS সেটিং লিখে রাখুন। টানেল সক্রিয় রেখে পরীক্ষা চালান, এটি যে রিজলভারের নাম বলে সব নোট করুন, এবং সেটটিকে একক প্রত্যাশিত ঠিকানার বদলে নীতির সঙ্গে মেলান।

পুনঃসংযোগের পর আবার করুন যদি উপসর্গটি তখনই দেখা দেয়, কারণ সংযোগের সময় প্রয়োগ করা নীতি পরে হারিয়ে যেতে পারে। সেটিংস অনুমান করার বদলে অভ্যন্তরীণ DNS ব্যতিক্রমের জন্য ক্লায়েন্টের ডকুমেন্টেশন ব্যবহার করুন।

আপনি যে অমিল পেয়েছেন তা ঠিক করুন: ব্রাউজারের পছন্দ, VPN DNS সেটিং বা split-DNS নিয়ম। টানেল ব্যর্থ হলে যদি কোয়েরি বন্ধ হওয়া দরকার হয়, kill switch আলাদা সেটিং, আর কেবল DNS কনফিগারেশন তা দেবে না। এনক্রিপ্টেড রিজলভার কী লুকায় আর কী লুকায় না তা ব্যাখ্যা করার দরকার হলে RFC 8484 স্পেসিফিকেশন কাজে লাগে।