Testování rozděleného DNS bez úniku interních jmen

Dotaz na interní jméno u veřejného resolveru jméno vyzradí a obejde pravidlo, které jste chtěli otestovat. Dotaz dorazí na server, který neovládáte, odpověď přichází z jmenného prostoru, který ho vůbec neměl vidět, a výsledek nic neříká o tom, zda rozdělený DNS funguje. Testovat rozdělený DNS znamená testovat cestu resolveru, kterou aplikace skutečně používá. Tu cestu vybírá operační systém, seznam domén v profilu VPN a někdy i prohlížeč.

Vyberte dvě jména a nejprve předpovězte obě odpovědi

Požádejte vlastníka sítě o jedno zdokumentované interní testovací jméno a vyberte běžné veřejné jméno, které o organizaci nic neprozrazuje. Než cokoli spustíte, zapište, co má u každého nastat: interní jméno má dorazit do resolveru tunelu a vrátit interní adresu, zatímco veřejné jméno se má přeložit přes resolver, který systém běžně používá. Tyto dvě předpovědi jsou test, protože bez nich lze každou odpověď dodatečně zdůvodnit. Udržujte dvojici mezi běhy neměnnou, aby pozdější srovnání něco znamenalo.

Kontrolujte skutečná pravidla, ne zamýšlená. Seznam domén připojený k připojení VPN rozhoduje, které přípony jdou ke kterému resolveru, a překlep v tomto seznamu vytvoří uvěřitelné, ale špatné rozdělení. Na spravovaném zařízení použijte diagnostickou cestu správce, protože místní přepisy mohou být při příští kontrole zásadami resetovány.

Zapište předpověď vedle pozorované odpovědi ve stejném tiketu. Test bez předpovědi nemůže selhat a test, který nemůže selhat, nic nenaučí.

Testujte cestu, kterou používá aplikace, ne jeden vámi zvolený server

Příkaz, který výslovně uvádí resolver, testuje jen tento resolver a nic jiného. Řekne vám, zda interní server odpovídá, což je užitečné, ale neříká, zda tam aplikace jméno posílá. Nejprve testujte běžnou cestou: přeložte interní jméno tak, jak by to udělala aplikace, a poté stejným způsobem přeložte veřejné jméno. Teprve potom se ptejte konkrétních serverů, kde se chování rozchází.

Prohlížeče obrázek komplikují, protože nastavení zabezpečeného DNS může systémový resolver úplně obejít. Prohlížeč nakonfigurovaný s vlastním šifrovaným resolverem rozdělení nikdy nevidí a porucha vypadá jako rozbitý profil VPN. Zkontrolujte toto nastavení, než změníte tunel.

Opakujte vyhledání po opětovném připojení, pokud je otázkou obnova. Odpověď uložená v mezipaměti z doby před připojením může správně obnovené rozdělení ukázat lepší nebo horší, než je.

Zaznamenejte kategorii odpovědi, ne jen úspěch nebo selhání

Zapište, která ze čtyř věcí nastala: interní adresa, veřejná adresa, negativní odpověď nebo vypršení času. Každá má jiný význam. Interní adresa pro interní jméno je očekávaný úspěch; veřejná adresa pro interní jméno naznačuje, že dotaz opustil tunel; negativní odpověď od autoritativního serveru ukazuje na chybějící záznam, nikoli na chybu směrování; a vypršení času znamená problém s dostupností nebo resolver, který dotaz nikdy nedostal. Úspěch a selhání jsou příliš hrubé na to, aby se podle nich jednalo.

Než interpretujete chybějící čerstvý dotaz, počítejte s mezipamětí, protože negativní odpověď v mezipaměti vypadá stejně jako neexistující jméno. Zachyťte odpověď dříve, než cokoli vymažete podporovanými nástroji, protože první odpověď je důkaz.

Interpretujte obě větve bez hádání

Pokud se interní jméno přeloží správně a aplikace stále selhává, resolver udělal svou práci a dalšími podezřelými jsou trasy a oprávnění na samotném prostředku. Pokud se soukromé jméno dostalo k veřejnému resolveru, pravidlo rozdělení se na toto vyhledání neuplatňuje, proto s vlastníkem jmenného prostoru projděte seznam domén a případné zásady prohlížeče. Tyto dvě větve mají různé vlastníky, a proto je důležitější zaznamenat, kterou jste viděli, než zaznamenat, že se něco rozbilo.

Redigujte sdílený výstup a zachovejte strukturu: který jmenný prostor, které pravidlo, která kategorie odpovědi. Odpověď resolveru může nést interní adresy a názvy hostitelů a tiket je trvalým domovem pro obojí.

Poté předejte výsledek vlastníkovi jmenného prostoru se dvěma pozorovanými kategoriemi a odstraněnými jmény. To je pětiminutový rozhovor místo týdne spekulací.