DNS test curenja: naziv resolvera nije ruta

Tri uređenja se računaju kao ispravan DNS za korisnika VPN-a: upiti na operaterov resolver, upiti na šifrovani resolver koji ste sami odabrali i split DNS koji radna imena šalje u organizaciju. Test curenja prijavljuje resolver, a ta jedna oznaka ne može reći koje uređenje zapravo imate. Prvo odredite namjeravanu politiku, pa je testirajte. U suprotnom poredite broj s osjećajem.

Odredite šta ste željeli prije nego što pročitate rezultat

Nazovite politiku jednom rečenicom: sva imena na VPN resolver, sva imena na odabrani šifrovani resolver ili split DNS s internim imenima koja idu u organizaciju. Svaka je održiva za drugog korisnika i svaka daje drugačiji očekivani odgovor. Bez te rečenice svaki rezultat koji se razlikuje od snimka ekrana u forumskoj objavi izgleda alarmantno. Zapišite politiku prije prvog testa.

Test obavljen prije nego što je politika definisana ne mjeri ništa. On daje naziv resolvera bez ijedne referentne točke.

Naziv resolvera ne dokazuje ni put ni primaoca

Dva pitanja su važna: ko je primio upit i koja ga je ruta nosila. Do resolvera treće strane može se doći kroz tunel dok ekran postavki pokazuje adresu provajdera. Oznaka na stranici testa curenja opisuje pogled posmatrača, a ne vašu tablicu rutiranja.

Preglednik može koristiti vlastiti šifrovani DNS dok saobraćaj sajtova ide kroz tunel, a keširani odgovori mogu omogućiti učitavanje stranice bez novog upita. Zato rezultat javne IP adrese ne govori ništa o DNS-u. DoH i DoT štite upit na putu do resolvera, a taj resolver i dalje vidi imena.

resolvectl status
resolvectl query example.com
dig +short example.com

Split DNS čini više resolvera ispravnim

Organizacija može slati interna imena na svoj DNS, a sve ostalo negdje drugdje. Test koji navodi nekoliko resolvera zato može opisivati namjeravanu politiku, a ne kvar. Uporedite uočeni skup s dokumentovanim pravilima split DNS-a prije nego što bilo šta isključite. Isključivanje internog resolvera da bi testna stranica izgledala čistije kvari privatna imena.

Split tunneling i split DNS su različite odluke: jedno rutira pakete, drugo rutira pitanja. Promjena rute tunela ne pomjera pretragu imena, a promjena resolvera ne popravlja put do sajta. IPv6 je treće pitanje, jer nenamjerna IPv6 veza nije automatski curenje DNS-a.

Pretvorite rezultat u istragu

Zabilježite namjeravanu politiku i postavku sigurnog DNS-a u pregledniku prije testiranja. Pokrenite test s aktivnim tunelom, zabilježite svaki resolver koji navede i uporedite skup s politikom, a ne s jednom očekivanom adresom.

Ponovite nakon ponovnog povezivanja ako se simptom tada pojavljuje, jer se politika primijenjena pri povezivanju može kasnije izgubiti. Koristite dokumentaciju klijenta za interne DNS izuzetke umjesto da nagađate postavke.

Ispravite neusklađenost koju ste našli: izbor u pregledniku, VPN DNS postavku ili pravilo split DNS-a. Ako upiti moraju stati kada tunel padne, kill switch je zasebna postavka i sama DNS konfiguracija je neće osigurati. Specifikacija RFC 8484 je korisna kada trebate objasniti šta šifrovani resolver skriva, a šta ne.