Prawf gollwng DNS: nid yw enw datryswr yn y llwybr

Mae tri threfniad yn cyfrif fel DNS cywir i ddefnyddiwr VPN: ymholiadau i ddatryswr y gweithredwr, ymholiadau i ddatryswr wedi'i amgryptio a ddewisoch chi, a DNS hollt sy'n anfon enwau gwaith i'r sefydliad. Mae prawf gollwng yn adrodd un datryswr, ac ni all y label hwnnw ddweud pa drefniad sydd gennych mewn gwirionedd. Penderfynwch ar y polisi arfaethedig yn gyntaf, yna profwch yn ei erbyn. Fel arall rydych yn cymharu rhif ag ymdeimlad.

Penderfynwch beth roeddech ei eisiau cyn darllen y canlyniad

Enwch y polisi mewn un frawddeg: pob enw i ddatryswr y VPN, pob enw i ddatryswr wedi'i amgryptio a ddewiswyd, neu DNS hollt gydag enwau mewnol yn mynd i'r sefydliad. Mae pob un yn amddiffynadwy i wahanol ddefnyddiwr, ac mae pob un yn cynhyrchu ateb disgwyliedig gwahanol. Heb y frawddeg honno, mae unrhyw ganlyniad sy'n wahanol i sgrinlun mewn post fforwm yn edrych yn frawychus. Ysgrifennwch y polisi cyn y prawf cyntaf.

Nid yw prawf a wneir cyn diffinio'r polisi yn mesur dim. Mae'n cynhyrchu enw datryswr heb unrhyw bwynt cyfeirio.

Nid yw enw datryswr yn profi'r llwybr na'r derbynnydd

Mae dau gwestiwn yn bwysig: pwy a dderbyniodd yr ymholiad, a pha lwybr a'i cludodd. Gellir cyrraedd datryswr trydydd parti drwy'r tiwnel tra bod sgrin gosodiadau'n dangos cyfeiriad y darparwr. Mae'r label ar dudalen prawf gollwng yn disgrifio barn yr arsylwr, nid eich tabl llwybro.

Gall porwr ddefnyddio ei DNS amgryptiedig ei hun tra bod traffig y safle'n mynd drwy'r tiwnel, a gall atebion wedi'u cadw mewn celc adael tudalen i lwytho heb chwiliad newydd. Dyna pam nad yw canlyniad IP cyhoeddus yn dweud dim am DNS. Mae DoH a DoT yn amddiffyn yr ymholiad ar y ffordd i'r datryswr, ac mae'r datryswr hwnnw'n dal i weld yr enwau.

resolvectl status
resolvectl query example.com
dig +short example.com

Mae DNS hollt yn gwneud sawl datryswr yn gywir

Gall sefydliad anfon enwau mewnol i'w DNS ei hun a phopeth arall i rywle arall. Felly gall prawf sy'n rhestru sawl datryswr ddisgrifio'r polisi arfaethedig yn hytrach na nam. Cymharwch y set a arsylwyd ag y rheolau DNS hollt wedi'u dogfennu cyn analluogi unrhyw beth. Mae diffodd y datryswr mewnol i wneud i dudalen prawf edrych yn lanach yn torri enwau preifat.

Mae tiwnelu hollt a DNS hollt yn ddewisiadau gwahanol: mae un yn llwybro pecynnau, mae'r llall yn llwybro cwestiynau. Nid yw newid llwybr tiwnel yn symud chwiliad enw, ac nid yw newid y datryswr yn trwsio llwybr gwefan. Mae IPv6 yn drydydd cwestiwn, gan nad yw cysylltiad IPv6 anfwriadol yn ollyngiad DNS yn awtomatig.

Trowch y canlyniad yn ymchwiliad

Cofnodwch y polisi arfaethedig a gosodiad DNS diogel y porwr cyn profi. Rhedegwch y prawf gyda'r tiwnel yn weithredol, nodwch bob datryswr y mae'n ei enwi, a chymharwch y set a'r polisi yn hytrach nag ag un cyfeiriad disgwyliedig.

Ailadroddwch ar ol ailgysylltu os dyna pryd mae'r symptom yn ymddangos, oherwydd gall polisi a gymhwyswyd wrth gysylltu gael ei golli'n ddiweddarach. Defnyddiwch ddogfennaeth y cleient ar gyfer eithriadau DNS mewnol yn lle dyfalu'r gosodiadau.

Trwsiwch yr anghysondeb a ganfuwyd: dewis porwr, gosodiad DNS VPN neu reol DNS hollt. Os rhaid i ymholiadau stopio pan fydd y tiwnel yn methu, mae'r kill switch yn osodiad ar wahan, ac ni fydd cyfluniad DNS yn unig yn ei ddarparu. Mae manyleb RFC 8484 yn ddefnyddiol pan fydd angen i chi esbonio beth mae datryswr amgryptiedig yn ei guddio a beth nad yw.