Test úniku DNS: název resolveru není trasa

Název resolveru vám neřekne, zda DNS obešel tunel. Rozhodněte, jakou politiku jste chtěli, a pak porovnejte příjemce, trasu a výjimky.

Tři uspořádání se počítají za správné DNS pro uživatele VPN: dotazy na resolver operátora, dotazy na šifrovaný resolver, který jste si zvolili, a split DNS, které posílá pracovní názvy do organizace. Test úniku hlásí resolver a tento jediný údaj vám neřekne, které uspořádání skutečně máte. Nejprve určete zamýšlenou politiku a potom proti ní testujte. Jinak porovnáváte číslo s pocitem.

Rozhodněte, co jste chtěli, než si přečtete výsledek

Pojmenujte politiku jednou větou: všechny názvy na VPN resolver, všechny názvy na zvolený šifrovaný resolver, nebo split DNS s interními názvy do organizace. Každá je obhajitelná pro jiného uživatele a každá dává jinou očekávanou odpověď. Bez té věty vypadá každý výsledek odlišný od snímku obrazovky ve vlákně fóra alarmujícím dojmem. Zapište politiku před prvním testem.

Test provedený před definováním politiky nic neměří. Dává název resolveru bez jediného referenčního bodu.

Název resolveru nedokazuje ani cestu, ani příjemce

Dvě otázky jsou důležité: kdo dotaz přijal a která trasa ho nesla. K resolveru třetí strany se lze dostat tunelem, zatímco obrazovka nastavení ukazuje adresu poskytovatele. Údaj na stránce testu úniku popisuje pohled pozorovatele, ne vaši směrovací tabulku.

Prohlížeč může používat vlastní šifrované DNS, zatímco provoz na weby jde tunelem, a odpovědi z mezipaměti mohou umožnit načtení stránky bez nového dotazu. Proto výsledek veřejné IP o DNS nic neříká. DoH a DoT chrání dotaz na cestě k resolveru a ten resolver názvy stále vidí.

resolvectl status
resolvectl query example.com
dig +short example.com

Split DNS dělá více resolverů správnými

Organizace může interní názvy posílat do svého DNS a všechno ostatní jinam. Test, který uvádí několik resolverů, proto může popisovat zamýšlenou politiku, ne závadu. Porovnejte pozorovanou množinu s dokumentovanými pravidly split DNS, než cokoli vypnete. Vypnutí interního resolveru, aby testovací stránka vypadala čistěji, rozbíjí soukromé názvy.

Split tunneling a split DNS jsou různá rozhodnutí: jedno směruje pakety, druhé směruje otázky. Změna trasy tunelu nepřesune hledání názvu a změna resolveru neopraví cestu k webu. IPv6 je třetí otázka, protože nechtěné připojení IPv6 není automaticky únik DNS.

Přeměňte výsledek ve vyšetřování

Před testem si poznamenejte zamýšlenou politiku a nastavení zabezpečeného DNS v prohlížeči. Spusťte test s aktivním tunelem, poznamenejte každý resolver, který uvede, a porovnejte množinu s politikou, ne s jedinou očekávanou adresou.

Opakujte po opětovném připojení, pokud se příznak objevuje právě tehdy, protože politika uplatněná při připojení se může později ztratit. Pro interní výjimky DNS použijte dokumentaci klienta místo hádání nastavení.

Opravte nesoulad, který jste našli: volbu v prohlížeči, nastavení DNS ve VPN nebo pravidlo split DNS. Pokud se dotazy musí zastavit, když tunel selže, kill switch je samostatné nastavení a samotná konfigurace DNS ho nenahradí. Specifikace RFC 8484 je užitečná, když potřebujete vysvětlit, co šifrovaný resolver skrývá a co ne.

Související články