Cipiad Split-DNS: dywedwch ble y cymerwyd pob arsylwad

Mae dau berson yn datrys yr un broblem Split-DNS ac yn cael cyfeiriadau datryswr gwahanol. Defnyddiodd un offeryn chwilio, cipiodd un arall becynnau ar yr addasydd, a darllenodd y trydydd ddiagnosteg y cleient ei hun. Nid oes yr un ohonynt yn dweud celwydd, ac nid oes yr un yn disgrifio’r un cam. Mae enwi’r pwynt arsylwi yn troi gwrthgyferbyniad yn fap.

Un chwiliad, sawl pwynt arsylwi

Ar gyfer un enw mewnol, mae o leiaf bump man i edrych: y rhaglen a’r API datryswr y mae’n ei alw, y polisi parth effeithiol ar y cleient, cipiad ar yr addasydd neu’r hidlydd, ffin porth rheoledig, a’r datryswr sy’n derbyn y cwestiwn mewn gwirionedd.

Mae pob un yn ateb cwestiwn gwahanol, ac nid oes yr un ar ei ben ei hun yn profi i ble yr aeth y cwestiwn.

Mae cipiad ar yr addasydd yn dangos pecynnau, nid bwriad. Nid yw’n dweud pa ddatryswr a ddewisodd y cleient, a gall cipiad gwag olygu ateb wedi’i storio neu API datryswr gwahanol yn hytrach na phecyn wedi’i ollwng. Triniwch bob arsylwad fel tystiolaeth am un cam. Yna cydosodwch y camau yn llwybr.

Mae hidlydd y cleient rhwng y rhaglen a’r wifren

Mae cleient VPN â Split-DNS yn cymhwyso paru parth cyn i’r pecyn adael y peiriant. Mae enwau yn y rhagddodiad twnel yn mynd i’r datryswr mewnol; mae popeth arall yn mynd i’r un lleol. Polisi yw’r hidlydd, a gall polisi amrywio yn ôl platfform a fersiwn y cleient.

Mae canllaw Split-DNS Secure Client Cisco yn ymdrin â pharu parth a hidlydd Windows, ac mae’n gwahanu’r hyn y mae rhaglen yn ei weld pan fydd yn defnyddio’r API datryswr brodorol oddi wrth yr hyn y mae offeryn fel nslookup yn ei weld. Y gwahaniaethau hynny yw’r pwynt.

Dechreuwch o’r proffil effeithiol ac un chwiliad rhaglen cyffredin. Mae unrhyw brawf sy’n enwi gweinydd penodol yn fwriadol o’r ffordd; defnyddiwch ddiagnosteg y cleient ei hun i’w esbonio, a pheidiwch â gadael iddo ddod yn faen prawf derbyn.

Mae nslookup yn dilyn llwybr gwahanol i’r rhaglen

Mae nslookup yn adeiladu ei gwestiwn DNS ei hun a gall osgoi polisi datryswr y system weithredu. Mae hynny’n ei wneud yn offeryn defnyddiol ar gyfer gofyn cwestiwn penodol i weinydd penodol, ac yn offeryn camarweiniol ar gyfer profi’r hyn y bydd rhaglen yn ei brofi.

Ar Windows, mae’r tabl polisi datrys enwau yn penderfynu pa ragddodiad sy’n defnyddio pa weinydd. Mae ei ddarllen yn dangos y polisi y bydd y rhaglen yn ei ddilyn, a dyna’n aml y darn coll.

Darllenwch y polisi ac yna gofynnwch yr un cwestiwn drwy’r datryswr arferol:

Get-DnsClientNrptPolicy
Resolve-DnsName intranet.hq.example

Mae datryswyr wedi’u hamgryptio yn cuddio’r cwestiwn, nid y cysylltiad

Mae porwr â’i ddatryswr DNS-over-HTTPS ei hun yn achos hollol wahanol. Mae’r cwestiwn yn gadael y tu mewn i TLS, felly mae cipiad pecynnau yn dangos cysylltiad â chyfeiriad datryswr ond nid yr enw y gofynnir amdano.

Gweithiwch allan bolisi rheoledig y porwr yn gyntaf, yna cymharwch ef â chwiliad y system weithredu. Efallai na fydd porwr sy’n cael dewis ei ddatryswr ei hun byth yn gweld polisi Split-DNS.

Mae’r un rhybudd yn berthnasol i unrhyw gleient sy’n dod â’i ddatryswr ei hun. Nid yw cipiad sy’n adnabod y cysylltiad o bell yn dystiolaeth am enw’r cwestiwn. Os oes arnoch angen yr enw, cymerwch ef o logiau’r datryswr ei hun neu o ddiagnosteg y rhaglen, gyda’r rheolau preifatrwydd sy’n berthnasol.

Cymharwch â phrawf wedi’i labelu

Dewiswch enw mewnol cymeradwy ar gyfer profi, ynghyd ag enw cyhoeddus nad yw’n cario unrhyw ystyr sensitif. Ar gyfer pob un, cofnodwch yr amser, y math o gofnod, yr ateb, a’r polisi yr oeddech yn ei ddisgwyl.

Lle y caniateir, cymharwch dderbyniad y datryswr ag un arsylwad cul gan y cleient neu’r porth:

nslookup intranet.hq.example 10.55.0.53
Get-DnsClientNrptPolicy | Format-List

Peidiwch byth ag anfon enwau preifat at ddatryswyr cyhoeddus diberthynas dim ond i greu cymhariaeth, a golygwch unrhyw beth a rennir gennych. Yn olaf, gwahanwch ateb DNS cywir oddi wrth y cysylltiad gwasanaeth sy’n dilyn: mae’r cyfeiriad preifat a ddatryswyd yn dal i fod angen llwybr ac awdurdodiad rhaglen.