Test af opdelt DNS uden at lække interne navne

Når man spørger en offentlig resolver om et internt navn, lækker navnet, og reglen man ville teste, springes over. Forespørgslen når en server, man ikke kontrollerer, svaret kommer fra et navnerum, der ikke burde have set det, og resultatet siger intet om, hvorvidt opdelt DNS virker. At teste opdelt DNS betyder at teste den resolvervej, en applikation faktisk bruger. Den vej vælges af operativsystemet, af domænelisten på VPN-profilen og nogle gange af browseren.

Vælg to navne, og forudsig begge svar først

Bed netværksejeren om ét dokumenteret internt testnavn, og vælg et almindeligt offentligt navn, der ikke siger noget om organisationen. Skriv ned, hvad der bør ske for hvert af dem, før du kører noget: det interne navn bør nå tunnellens resolver og returnere en intern adresse, mens det offentlige navn bør slås op via den resolver, systemet normalt bruger. De to forudsigelser er selve testen, for uden dem kan ethvert svar bortforklares bagefter. Hold parret fast på tværs af kørsler, så en senere sammenligning betyder noget.

Kontroller de gældende regler frem for de tilsigtede. Domænelisten, der er knyttet til VPN-forbindelsen, afgør, hvilke suffikser der går til hvilken resolver, og en tastefejl i den liste giver en plausibel, men forkert opdeling. På en administreret enhed bør du bruge administratorens diagnostiske vej, da lokale tilsidesættelser kan nulstilles af politik ved næste kontrol.

Skriv forudsigelsen ved siden af det observerede svar i samme sag. En test uden forudsigelse kan ikke fejle, og en test, der ikke kan fejle, lærer intet.

Test den vej, applikationen bruger, ikke én server, du selv valgte

En kommando, der udpeger en resolver eksplicit, tester den resolver og intet andet. Den fortæller, om den interne server svarer, hvilket er nyttigt, og den fortæller ikke, om en applikation sender navnet derhen. Test først ad den normale vej: slå det interne navn op, som en applikation ville, og slå derefter det offentlige navn op på samme måde. Først derefter bør du spørge bestemte servere for at finde ud af, hvor adfærden afviger.

Browsere gør billedet mere kompliceret, fordi indstillinger for sikker DNS helt kan omgå systemets resolver. En browser, der er konfigureret med sin egen krypterede resolver, ser aldrig opdelingen, og fejlen ligner en ødelagt VPN-profil. Kontroller den indstilling, før du ændrer tunnelen.

Gentag opslaget efter genopkobling, hvis spørgsmålet er genoprettelse. Et svar, der er cachet fra før genopkoblingen, kan få en korrekt genoprettet opdeling til at se bedre eller værre ud, end den er.

Registrer svarkategorien, ikke kun succes eller fiasko

Skriv ned, hvilket af fire ting der skete: en intern adresse, en offentlig adresse, et negativt svar eller en timeout. Hver af dem betyder noget forskelligt. En intern adresse til det interne navn er den forventede succes; en offentlig adresse til et internt navn tyder på, at forespørgslen forlod tunnelen; et negativt svar fra den autoritative server peger på en manglende post snarere end en routingfejl; og en timeout indikerer problemer med nåbarheden eller en resolver, der aldrig modtog forespørgslen. Succes og fiasko er for grove at handle på.

Tag højde for cachen, før du fortolker en manglende frisk forespørgsel, for et negativt svar i cachen ser identisk ud med et navn, der ikke findes. Gem svaret, før du rydder noget via understøttede kontroller, da det første svar er beviset.

Fortolk de to grene uden at gætte

Hvis det interne navn slås korrekt op, og applikationen stadig fejler, gjorde resolveren sit arbejde, og de næste mistænkte er ruter og tilladelser på selve ressourcen. Hvis det private navn nåede en offentlig resolver, anvendes opdelingsreglen ikke på det opslag, så gennemgå domænelisten og enhver browserpolitik sammen med ejeren af navnerummet. De to grene har forskellige ejere, og derfor er det vigtigere at registrere, hvilken du så, end at registrere, at noget gik i stykker.

Fjern følsomme oplysninger fra delt output, men bevar strukturen: hvilket navnerum, hvilken regel, hvilken svarkategori. Et resolversvar kan indeholde interne adresser og værtsnavne, og en sag er et varigt hjem for begge.

Giv derefter resultatet videre til navnerummets ejer med de to kategorier, du observerede, og navnene fjernet. Det er en samtale på fem minutter i stedet for en uge med gætteri.