Split-tunnel udelukker browseren, ikke dens DNS-forespørgsler

Browseren udelukket fra tunnelen, siden med offentlig IP bekræfter, at dens trafik forlader via hjemmeforbindelsen, og den interne wiki åbner stadig ikke. Navneopløsningen gik et andet sted hen, og det andet sted er som regel den resolver, VPN’en har sat op. Datastien og resolverstien er separate beslutninger i de fleste split-tunnel-design. Kontroller, hvilken browseren faktisk brugte, før du kalder udelukkelsen brudt.

Datastien og resolverstien skilles

En udelukkelse fjerner et programs pakker fra tunnelen, hvilket er en rute- og firewallbeslutning på datastien. Navneopløsning er et andet opslag: en proces spørger systemets resolver, og den resolver afgør, hvilken server der modtager spørgsmålet.

Begge kan være tilsigtede og forskellige. En arbejdsudrulning kan holde interne navnerum på den virksomhedsresolver, mens udvalgt offentlig browsing sendes uden for tunnelen, netop fordi interne navne ikke opløses andre steder. Det forvirrende tilfælde er det modsatte: et offentligt websted fejler, fordi browseren aldrig spurgte den resolver, som udrulningen forventede. Notér ruten og resolversen særskilt, og halvdelen af diskussionerne forsvinder.

Find ud af, hvilken proces der stiller spørgsmålet

En browser kan bruge systemets resolver, sin egen krypterede DNS-tjeneste eller en resolver, som styresystemet tildeler pr. netværk. Den første følger platformens politik, den anden omgår politikken helt, og den tredje afhænger af, hvilket link forespørgslen sendes til.

resolvectl status
resolvectl query intranet.example.net
dig +short +time=2 intranet.example.net @10.52.0.2
scutil --dns | head -n 40

Læs den gældende konfiguration, før du tester: hvilke links der bærer DNS-servere, hvilke navnerum de gør krav på, og om en politik pr. navn tilsidesætter standarden. På Linux bruger split DNS routingdomæner; på Windows gør tabellen for navneopløsningspolitik det samme for navnerum. Ingen af dem er synlige fra en lækagetestside.

Beslut, hvilken resolver der ser hvilket navn

Skriv den tilsigtede mapping ned, før du ændrer noget: interne navne til virksomhedsresolveren, offentlige navne til den tjeneste, politikken tillader, og undtagelser med en ejer. Uden den liste bliver hver etiket i lækagetesten en politisk diskussion, som ingen kan afslutte.

Kontroller derefter browserens egen indstilling, fordi krypteret DNS i en browser anvendes, før styresystemet modtager forespørgslen. En bruger, der aktiverede det for at omgå en captive portal, har stille tilsidesat den resolver, som udrulningen valgte. Det er en konfigurationsbeslutning og ikke en lækage, og den fortjener en beslutning og ikke en blokeringsliste.

Omskriv ikke hvert DNS-felt for at få én testetiket grøn. Etiketten beskriver én forespørgsel fra én proces på ét tidspunkt.

Verificér forespørgsel og forbindelse særskilt

Test de to stier uafhængigt. Forbindelsestesten viser dataruten, og resolvertesten viser, hvem der modtog navnet.

curl -sS --max-time 8 https://api.ipify.org
resolvectl query example.net
dig +short example.net

Spørg også resolversen eksplicit, så en fejl kan tilskrives serveren og ikke stien. Genstart derefter browseren, og gentag, fordi programmer cachelagrer negative svar, og en gammel fejl ser vedvarende ud.

Efter en godkendt ændring skal du notere dataruten og resolverens modtager som to separate linjer med datoen. Hvis adfærden vender tilbage ved næste genopkobling, er det profilen, der leverer den, der skal rettes, ikke browseren.