Prova de filtració de DNS: el nom del resolutor no és la ruta

Tres disposicions compten com a DNS correcte per a un usuari de VPN: consultes al resolutor de l'operador, consultes a un resolutor xifrat que hàgiu triat vosaltres i DNS dividit que envia els noms de treball a l'organització. Una prova de filtració informa d'un resolutor, i aquesta única etiqueta no us pot dir quina disposició teniu realment. Decidiu primer la política prevista i després proveu contra ella. Si no, compareu un número amb una sensació.

Decidiu què volíeu abans de llegir el resultat

Anomeneu la política en una frase: tots els noms al resolutor de la VPN, tots els noms a un resolutor xifrat triat, o DNS dividit amb els noms interns cap a l'organització. Cadascuna és defensable per a un usuari diferent, i cadascuna produeix una resposta esperada diferent. Sense aquesta frase, qualsevol resultat que difereixi d'una captura en un fil del fòrum sembla alarmant. Escriviu la política abans de la primera prova.

Una prova feta abans que la política estigui definida no mesura res. Produeix un nom de resolutor sense cap punt de referència.

Un nom de resolutor no demostra ni el camí ni el destinatari

Dues preguntes importen: qui va rebre la consulta i quina ruta la va portar. Es pot arribar a un resolutor de tercers a través del túnel mentre una pantalla de configuració mostra l'adreça del proveïdor. L'etiqueta d'una pàgina de prova de filtració descriu la visió de l'observador, no la vostra taula d'encaminament.

Un navegador pot fer servir el seu propi DNS xifrat mentre el trànsit del lloc passa pel túnel, i les respostes en memòria cau poden permetre carregar una pàgina sense una consulta nova. Per això un resultat d'IP pública no diu res sobre el DNS. DoH i DoT protegeixen la consulta en el trajecte fins al resolutor, i aquest resolutor encara veu els noms.

resolvectl status
resolvectl query example.com
dig +short example.com

El DNS dividit fa correctes diversos resolutors

Una organització pot enviar els noms interns al seu propi DNS i tota la resta a un altre lloc. Per tant, una prova que llista diversos resolutors pot descriure la política prevista i no una avaria. Compareu el conjunt observat amb les regles de DNS dividit documentades abans de desactivar res. Apagar el resolutor intern perquè una pàgina de prova sembli més neta trenca els noms privats.

L'encaminament dividit i el DNS dividit són decisions diferents: un encamina paquets, l'altre encamina preguntes. Canviar una ruta del túnel no mou una consulta de nom, i canviar el resolutor no arregla el camí d'un lloc web. IPv6 és una tercera qüestió, ja que una connexió IPv6 no desitjada no és automàticament una filtració de DNS.

Convertiu el resultat en una investigació

Anoteu la política prevista i el paràmetre de DNS segur del navegador abans de provar. Executeu la prova amb el túnel actiu, anoteu cada resolutor que esmenti i compareu el conjunt amb la política, no amb una única adreça esperada.

Repetiu-ho després de tornar-vos a connectar si és quan apareix el símptoma, perquè una política aplicada en connectar es pot perdre més tard. Feu servir la documentació del client per a les excepcions internes de DNS en lloc d'endevinar la configuració.

Corregiu la discrepància que hàgiu trobat: una elecció del navegador, un paràmetre de DNS de la VPN o una regla de DNS dividit. Si les consultes han d'aturar-se quan falla el túnel, el kill switch és un paràmetre a part, i la configuració de DNS sola no el proporcionarà. L'especificació RFC 8484 és útil quan cal explicar què amaga i què no amaga un resolutor xifrat.