Provar DNS dividit sense filtrar noms interns

Consultar un nom intern a un resolutor públic filtra el nom i es salta la regla que volíeu provar. La consulta arriba a un servidor que no controleu, la resposta ve d’un espai de noms que no l’havia de veure, i el resultat no diu res sobre si el DNS dividit funciona. Provar DNS dividit vol dir provar el camí del resolutor que una aplicació fa servir de debò. Aquest camí el tria el sistema operatiu, la llista de dominis del perfil de VPN i, a vegades, el navegador.

Trieu dos noms i prediu primer les dues respostes

Demaneu al propietari de la xarxa un nom de prova intern documentat i trieu un nom públic corrent que no digui res sobre l’organització. Escriviu què hauria de passar amb cadascun abans d’executar res: el nom intern hauria d’arribar al resolutor del túnel i retornar una adreça interna, mentre que el nom públic s’hauria de resoldre a través del resolutor que el sistema fa servir normalment. Aquestes dues prediccions són la prova, perquè sense elles qualsevol resposta es pot justificar després. Mantingueu la parella fixa entre execucions perquè una comparació posterior signifiqui alguna cosa.

Comproveu les regles efectives, no les previstes. La llista de dominis associada a la connexió VPN decideix quins sufixos van a cada resolutor, i una errata en aquesta llista produeix una divisió plausible però incorrecta. En un dispositiu gestionat, feu servir el camí de diagnòstic de l’administrador, ja que les anul·lacions locals es poden restablir per política a la propera comprovació.

Anoteu la predicció al costat de la resposta observada al mateix tiquet. Una prova sense predicció no pot fallar, i una prova que no pot fallar no ensenya res.

Proveu el camí que fa servir l’aplicació, no un servidor que hàgiu triat

Una ordre que anomena explícitament un resolutor prova aquell resolutor i res més. Us diu si el servidor intern respon, cosa que és útil, i no us diu si una aplicació hi envia el nom. Proveu primer el camí normal: resoleu el nom intern tal com ho faria una aplicació i després resoleu el nom públic de la mateixa manera. Només després, consulteu servidors concrets per trobar on divergeix el comportament.

Els navegadors compliquen el panorama, perquè la configuració de DNS segur pot saltar-se el resolutor del sistema del tot. Un navegador configurat amb el seu propi resolutor xifrat no veu mai la divisió, i la fallada sembla un perfil de VPN espatllat. Comproveu aquest paràmetre abans de canviar el túnel.

Repetiu la consulta després de reconnectar si la qüestió és la restauració. Una resposta en memòria cau d’abans de la reconnexió pot fer que una divisió restaurada correctament sembli millor o pitjor del que és.

Registreu la categoria de la resposta, no només èxit o fracàs

Anoteu quina de les quatre coses ha passat: una adreça interna, una adreça pública, una resposta negativa o un temps d’espera esgotat. Cadascuna té un significat diferent. Una adreça interna per al nom intern és l’èxit esperat; una adreça pública per a un nom intern suggereix que la consulta ha sortit del túnel; una resposta negativa del servidor autoritatiu apunta a un registre absent en lloc d’una fallada d’encaminament; i un temps d’espera esgotat indica problemes d’abastabilitat o un resolutor que no va rebre mai la consulta. Èxit i fracàs són massa grollers per actuar-hi.

Tingueu en compte la memòria cau abans d’interpretar una consulta nova absent, perquè una resposta negativa desada a la memòria cau sembla idèntica a un nom que no existeix. Captureu la resposta abans de netejar res amb controls suportats, ja que la primera resposta és la prova.

Interpreteu les dues branques sense endevinar

Si el nom intern es resol correctament i l’aplicació encara falla, el resolutor ha fet la seva feina i els següents sospitosos són les rutes i els permisos del propi recurs. Si el nom privat ha arribat a un resolutor públic, la regla de divisió no s’aplica a aquella consulta, així que reviseu la llista de dominis i qualsevol política del navegador amb el propietari de l’espai de noms. Aquestes dues branques tenen propietaris diferents, i per això registrar quina heu vist és més important que registrar que alguna cosa s’ha trencat.

Oculteu les dades sensibles de la sortida compartida mantenint l’estructura: quin espai de noms, quina regla, quina categoria de resposta. La resposta d’un resolutor pot portar adreces internes i noms d’amfitrió, i un tiquet és una llar duradora per a tots dos.

Després passeu el resultat al propietari de l’espai de noms amb les dues categories que heu observat i els noms eliminats. És una conversa de cinc minuts en lloc d’una setmana d’especulació.