Mae eich VPN yn gwthio tri gweinydd DNS: pa un sy’n ateb?

Agorwch y dudalen gosodiadau ar ôl cysylltu a bydd tri chyfeiriad DNS yn cael eu rhestru; cwestiwn yr archwiliad yw pa un a drafododd eich ymholiad diwethaf. Nid yw’r nifer ar ei ben ei hun yn ateb dim, oherwydd mae gwthiad cleient, rhyngwyneb ffisegol a pholisi fesul parth i gyd yn ysgrifennu i’r un golwg. Mae gan y cofnodion hyn gwmpasau gwahanol, a chwmpas yn hytrach na safle sy’n penderfynu pwy sy’n ateb. Dechreuwch drwy wahanu’r ffynonellau, yna profwch yr un sy’n berchen ar yr enw sydd o bwys i chi.

Pam mae’r rhestr yn hirach na’ch proffil

Mae cleient VPN yn gwthio cyfeiriadau datryswr ar gyfer y cyswllt twnnel, ac mae’r system weithredu yn eu cadw wrth ymyl yr hyn oedd gan y rhyngwyneb ffisegol yn barod. Mae llwybrydd, les DHCP corfforaethol, ail VPN a pholisi fesul parth yn cyfrannu cofnod eu hunain. Felly gall tri chyfeiriad ar y dudalen olygu tri chwmpas yn hytrach na thri ymgeisydd ar gyfer un swydd. Darllen y nifer fel tystiolaeth o ollyngiad yw camgymeriad cyntaf yr archwiliad hwn.

O fewn un rhyngwyneb mae cleient yn ceisio ei weinyddwyr yn eu trefn, felly nid yw rhestr drefnus yn ddiystyr. Yr hyn nad yw’n giw yw’r olwg unedig, lle mae cofnodion o’r proffil, y cyswllt ffisegol a’r rheolau fesul parth yn eistedd ochr yn ochr heb un raddoliaeth. Mae’r gwahaniaeth hwnnw’n penderfynu beth rydych chi’n ei brofi: mae trefn yn esbonio ymddygiad o fewn un cwmpas, ac mae cwmpas yn esbonio popeth arall.

Mae DNS wedi’i amgryptio yn torri’r darlun o du mewn rhaglen. Mae porwr neu gleient sgwrsio â’i ddatryswr DNS-over-HTTPS ei hun yn anfon ymholiadau heibio rhestr y system weithredu’n gyfan gwbl, felly mae’r cyfeiriadau ar y dudalen gosodiadau yn disgrifio traffig na chynhyrchodd y rhaglen erioed. Gwiriwch osodiad datryswr y rhaglen ei hun cyn beio’r proffil am enw a ddaeth allan yn anghywir.

Beth mae pob un o’r tri gwiriad yn ei ddweud

Mae pob ffynhonnell yn gadael ei marc mewn man gwahanol, ac nid oes un gorchymyn yn dangos y cyfan. Dyma’r mapio sy’n werth ei gadw wrth ymyl y dudalen gosodiadau:

Ar system sy’n defnyddio systemd-resolved, resolvectl status yw’r awdurdod, oherwydd mae’n adrodd DNS fesul cyswllt ynghyd â’r parthau llwybro. Mae macOS yn ateb drwy scutil --dns, sy’n rhestru datryswyr cwmpasedig yn y drefn y cânt eu profi. Mae Windows yn hollti’r ddwy hanner: Get-DnsClientServerAddress ar gyfer gweinyddwyr pob rhyngwyneb a Get-DnsClientNrptPolicy ar gyfer y rheolau ôl-ddodiad. Rheswch y gorchymyn sy’n perthyn i’r datryswr sy’n cael ei ddefnyddio mewn gwirionedd, oherwydd gall peiriant â chontainedydd rhediadol a datryswr bwrdd gwaith fod â mwy nag un wedi’i osod.

Datryswr wrth gefn na all ateb eich parth

Mae ail gofnod fel arfer yno ar gyfer argaeledd, ac nid yw argaeledd yn gweithio oni bai bod y gefnlen yn gwybod yr enwau. Gofynnwch i ddatryswr cyhoeddus am enw gwesteiwr mewnol ac mae’n dychwelyd NXDOMAIN, neu’n ateb cardyn gwyllt o barth chwilio nad oes ganddo ddim i’w wneud â chi. Yna mae methiant wrth gefn na wiriwyd gan neb yn cynhyrchu toriad ar yr union foment y mae ei angen.

Mae Split DNS yn bodoli i atal hynny: mae ôl-ddodiaid y cwmni’n mynd i ddatryswr sy’n dal y parth, ac mae enwau cyhoeddus yn aros ar y llwybr diofyn. Mae’r dyluniad yn gadarn, ac mae’n dibynnu ar y rhestr ôl-ddodiadau fod yn gyflawn. Mae Microsoft yn dogfennu’r polisi datryswr fesul ôl-ddodiad sy’n gyrru hyn ar Windows, ac mae’r un syniad yn ymddangos fel parthau llwybro yn systemd-resolved ac fel datryswyr cwmpasedig ar macOS.

Cymharwch y parthau y caiff y gefnlen ateb ar eu cyfer â’r ôl-ddodiaid sydd yn y polisi. Mae’r gymhariaeth honno’n dod o hyd i’r bwlch cyn i ddefnyddiwr adrodd bod un safle mewnol wedi rhoi’r gorau i ddatrys ar ôl newid twnnel.

Ymholwch drwy’r polisi, nid o’i amgylch

Ymholwch drwy ddatryswr y system weithredu, oherwydd mae ymholiad uniongyrchol i weinydd yn osgoi’r polisi ac yn adrodd dim ond yr hyn a ddywedai’r gweinydd hwnnw. Y bwlch rhwng y ddau ateb yw’r pwynt i gyd:

resolvectl query intranet.example.com
dig +short intranet.example.com @198.51.100.53

Os yw ymholiad y system yn dychwelyd cyfeiriad preifat tra bod yr ymholiad uniongyrchol yn dychwelyd NXDOMAIN, mae’r polisi’n gweithio a’r gefnlen yw’r man gwan. Os yw’r ddau yn dychwelyd yr un ateb cyhoeddus, mae’r enw’n cael ei ddatrys y tu allan i’r cwmpas a fwriadwyd, a’r rhestr ôl-ddodiadau yw’r lle i chwilio. Cadwch y ddau allbwn, oherwydd mae dadl datryswr yn dod i ben yn gyflymach gyda dwy linell na chyda sgrinlun o’r dudalen gosodiadau.

Yna ymarferwch y llwybr methu, oherwydd mae cefnlen na phrofwyd gan neb yn rhagdybiaeth. Trowch y datryswr a ffafrir yn dwll du ar gyfer un ymholiad a gwyliwch pa gyfeiriad sy’n dod yn ôl:

ip route add blackhole 198.51.100.53/32
resolvectl query intranet.example.com
ip route del blackhole 198.51.100.53/32

Dilewch y llwybr hwnnw cyn gynted ag y bydd yr ymholiad wedi gorffen, neu bydd y person nesaf yn etifeddu dirgelwch. Os yw enwau mewnol yn dal i ddatrys yn y ffenestr honno, mae rhywbeth y tu allan i’r cwmpas a fwriadwyd wedi ateb ar eu cyfer. Os ydynt yn amseru allan yn lle hynny, mae’r gefnlen ar goll neu wedi’i chwmpasu’n gywir, ac mae log y datryswr ei hun yn dweud pa un o’r ddau ydoedd.

Penderfynwch: cadw, cwmpasu neu dynnu

Cadwch ail ddatryswr pan fydd yn ateb y gofod enw sydd ei angen arnoch ac yn aros yn gyrraeddadwy o dan y proffil. Cwmpaswch ef pan ddylai weld un ôl-ddodiad a dim arall, a throwch ef ymaith pan nad oes ganddo gwmpas na phwrpas wedi’i ddogfennu. Mae cofnod heb swydd yn ollyngiad yn y dyfodol heb fudd, ac nid yw diofyn gwerthwr yn bwrpas.

Cofnodwch y canlyniad fel pedair colofn: ôl-ddodiad, datryswr, rhyngwyneb a pherchennog. Mae’r llinell honno’n ateb y cwestiwn archwilio nesaf yn gyflymach nag unrhyw sgrinlun, ac mae’n goroesi’r diweddariad cleient sy’n aildrefnu’r rhestr yn dawel.