Rozdělený tunel vylučuje prohlížeč, ne jeho DNS dotazy

Prohlížeč vyloučen z tunelu, stránka s veřejnou IP potvrzuje, že jeho provoz odchází domácím připojením, a interní wiki se přesto neotevře. Překlad jmen šel někam jinam a tím jinam je obvykle resolver, který nastavila VPN. Datová cesta a cesta resolveru jsou v většině návrhů rozděleného tunelu oddělená rozhodnutí. Ověřte, kterou z nich prohlížeč skutečně použil, než vyloučení označíte za rozbité.

Datová cesta a cesta resolveru se rozdělují

Vyloučení odebere pakety aplikace z tunelu, což je rozhodnutí o směrování a firewallu na datové cestě. Překlad jmen je jiné hledání: proces se ptá systémového resolveru a ten resolver rozhoduje, který server otázku dostane.

Obojí může být záměrné a rozdílné. Pracovní nasazení může držet interní jmenné prostory na podnikovém resolveru a vybrané veřejné prohlížení posílat mimo tunel, právě proto, že interní jména se nikde jinde nepřekládají. Matoucí případ je opačný: veřejný web selže, protože prohlížeč se nikdy nezeptal resolveru, který nasazení očekávalo. Zapište trasu a resolver odděleně a polovina sporů zmizí.

Zjistěte, který proces klade otázku

Prohlížeč může použít systémový resolver, vlastní službu šifrovaného DNS nebo resolver, který operační systém přiřadí pro každou síť. První následuje politiku platformy, druhý tuto politiku zcela obchází a třetí závisí na tom, na kterou linku je dotaz směrován.

resolvectl status
resolvectl query intranet.example.net
dig +short +time=2 intranet.example.net @10.52.0.2
scutil --dns | head -n 40

Před testováním si přečtěte platnou konfiguraci: které linky nesou DNS servery, jaké jmenné prostory si nárokují a zda politika pro jednotlivá jména přebíjí výchozí hodnotu. V Linuxu rozdělený DNS používá směrovací domény; ve Windows tabulka zásad překladu jmen dělá totéž pro jmenné prostory. Ani jedno není vidět ze stránky testu úniku.

Rozhodněte, který resolver uvidí které jméno

Než cokoli změníte, zapište zamýšlené mapování: interní jména k podnikovému resolveru, veřejná jména ke službě, kterou politika dovolí, a výjimky s vlastníkem. Bez toho seznamu se každý štítek testu úniku stane politickým sporem, který nikdo nemůže uzavřít.

Potom zkontrolujte vlastní nastavení prohlížeče, protože šifrované DNS v prohlížeči se uplatní dřív, než operační systém dotaz dostane. Uživatel, který je zapnul, aby obešel captive portál, tiše přebil resolver, který nasazení zvolilo. To je rozhodnutí o konfiguraci, ne únik, a zaslouží rozhodnutí, ne blocklist.

Nepřepisujte každé pole DNS, aby jeden štítek testu zezelenal. Štítek popisuje jeden dotaz jednoho procesu v jednom okamžiku.

Ověřujte dotaz a připojení odděleně

Testujte obě cesty nezávisle. Test připojení ukazuje datovou trasu a test resolveru ukazuje, kdo jméno dostal.

curl -sS --max-time 8 https://api.ipify.org
resolvectl query example.net
dig +short example.net

Zeptejte se resolveru i výslovně, aby se selhání dalo připsat serveru, a ne cestě. Potom restartujte prohlížeč a opakujte, protože aplikace kešují negativní odpovědi a zastaralé selhání vypadá trvale.

Po schválené změně zapište datovou trasu a příjemce resolveru jako dva samostatné řádky s datem. Pokud se chování při dalším připojení vrátí, opravit je třeba profil, který ho dodává, ne prohlížeč.