Δοκιμή διαχωρισμένου DNS χωρίς διαρροή εσωτερικών ονομάτων

Το να ζητήσετε από έναν δημόσιο resolver ένα εσωτερικό όνομα διαρρέει το όνομα και παρακάμπτει τον κανόνα που θέλατε να δοκιμάσετε. Το ερώτημα φτάνει σε διακομιστή που δεν ελέγχετε, η απάντηση προέρχεται από χώρο ονομάτων που δεν έπρεπε να το δει ποτέ, και το αποτέλεσμα δεν λέει τίποτα για το αν λειτουργεί το διαχωρισμένο DNS. Η δοκιμή διαχωρισμένου DNS σημαίνει δοκιμή της διαδρομής resolver που χρησιμοποιεί πραγματικά μια εφαρμογή. Αυτή τη διαδρομή την επιλέγει το λειτουργικό σύστημα, η λίστα τομέων στο προφίλ VPN και μερικές φορές το πρόγραμμα περιήγησης.

Επιλέξτε δύο ονόματα και προβλέψτε πρώτα και τις δύο απαντήσεις

Ζητήστε από τον ιδιοκτήτη του δικτύου ένα τεκμηριωμένο εσωτερικό όνομα δοκιμής και επιλέξτε ένα συνηθισμένο δημόσιο όνομα που δεν λέει τίποτα για τον οργανισμό. Γράψτε τι πρέπει να συμβεί για καθένα πριν εκτελέσετε οτιδήποτε: το εσωτερικό όνομα πρέπει να φτάσει στον resolver της σήραγγας και να επιστρέψει μια εσωτερική διεύθυνση, ενώ το δημόσιο όνομα πρέπει να επιλυθεί μέσω του resolver που χρησιμοποιεί συνήθως το σύστημα. Αυτές οι δύο προβλέψεις είναι η δοκιμή, γιατί χωρίς αυτές κάθε απάντηση μπορεί να δικαιολογηθεί εκ των υστέρων. Κρατήστε το ζεύγος σταθερό μεταξύ των εκτελέσεων, ώστε μια μεταγενέστερη σύγκριση να έχει νόημα.

Ελέγξτε τους πραγματικούς κανόνες και όχι τους προβλεπόμενους. Η λίστα τομέων που συνδέεται με τη σύνδεση VPN καθορίζει ποια καταλήξεις πηγαίνουν σε ποιον resolver, και ένα τυπογραφικό λάθος σε αυτή τη λίστα παράγει έναν εύλογο αλλά λανθασμένο διαχωρισμό. Σε διαχειριζόμενη συσκευή, χρησιμοποιήστε τη διαγνωστική διαδρομή του διαχειριστή, καθώς οι τοπικές παρακάμψεις μπορεί να επαναφερθούν από πολιτική στον επόμενο έλεγχο.

Καταγράψτε την πρόβλεψη δίπλα στην παρατηρούμενη απάντηση στο ίδιο αίτημα. Μια δοκιμή χωρίς πρόβλεψη δεν μπορεί να αποτύχει, και μια δοκιμή που δεν μπορεί να αποτύχει δεν διδάσκει τίποτα.

Δοκιμάστε τη διαδρομή που χρησιμοποιεί η εφαρμογή, όχι έναν διακομιστή που επιλέξατε

Μια εντολή που ονομάζει ρητά έναν resolver δοκιμάζει αυτόν τον resolver και τίποτα άλλο. Σας λέει αν ο εσωτερικός διακομιστής απαντά, κάτι χρήσιμο, και δεν σας λέει αν μια εφαρμογή στέλνει εκεί το όνομα. Δοκιμάστε πρώτα μέσω της κανονικής διαδρομής: επιλύστε το εσωτερικό όνομα όπως θα το έκανε μια εφαρμογή και μετά επιλύστε το δημόσιο όνομα με τον ίδιο τρόπο. Μόνο μετά από αυτό, ρωτήστε συγκεκριμένους διακομιστές για να βρείτε πού αποκλίνει η συμπεριφορά.

Τα προγράμματα περιήγησης περιπλέκουν την εικόνα, γιατί οι ρυθμίσεις ασφαλούς DNS μπορούν να παρακάμψουν εντελώς τον resolver του συστήματος. Ένα πρόγραμμα περιήγησης με δικό του κρυπτογραφημένο resolver δεν βλέπει ποτέ τον διαχωρισμό, και η αποτυχία μοιάζει με χαλασμένο προφίλ VPN. Ελέγξτε αυτή τη ρύθμιση πριν αλλάξετε τη σήραγγα.

Επαναλάβετε την αναζήτηση μετά την επανασύνδεση αν το ζήτημα είναι η αποκατάσταση. Μια απάντηση από την προσωρινή μνήμη πριν από την επανασύνδεση μπορεί να κάνει έναν σωστά αποκατεστημένο διαχωρισμό να φαίνεται καλύτερος ή χειρότερος από ό,τι είναι.

Καταγράψτε την κατηγορία απάντησης, όχι μόνο επιτυχία ή αποτυχία

Γράψτε ποιο από τέσσερα πράγματα συνέβη: μια εσωτερική διεύθυνση, μια δημόσια διεύθυνση, μια αρνητική απάντηση ή ένα χρονικό όριο. Καθένα έχει διαφορετική σημασία. Μια εσωτερική διεύθυνση για το εσωτερικό όνομα είναι η αναμενόμενη επιτυχία· μια δημόσια διεύθυνση για εσωτερικό όνομα υποδηλώνει ότι το ερώτημα έφυγε από τη σήραγγα· μια αρνητική απάντηση από τον αυθεντικό διακομιστή δείχνει εγγραφή που λείπει και όχι σφάλμα δρομολόγησης· και ένα χρονικό όριο υποδηλώνει πρόβλημα προσβασιμότητας ή resolver που δεν έλαβε ποτέ το ερώτημα. Η επιτυχία και η αποτυχία είναι πολύ χονδρικές για να βασιστείτε σε αυτές.

Λάβετε υπόψη την προσωρινή μνήμη πριν ερμηνεύσετε ένα απόν φρέσκο ερώτημα, γιατί μια αρνητική απάντηση στην προσωρινή μνήμη μοιάζει πανομοιότυπη με ένα όνομα που δεν υπάρχει. Καταγράψτε την απάντηση πριν καθαρίσετε οτιδήποτε με υποστηριζόμενα μέσα, γιατί η πρώτη απάντηση είναι το στοιχείο.

Ερμηνεύστε τους δύο κλάδους χωρίς εικασίες

Αν το εσωτερικό όνομα επιλύεται σωστά και η εφαρμογή εξακολουθεί να αποτυγχάνει, ο resolver έκανε τη δουλειά του και οι επόμενοι ύποπτοι είναι διαδρομές και δικαιώματα στον ίδιο τον πόρο. Αν το ιδιωτικό όνομα έφτασε σε δημόσιο resolver, ο κανόνας διαχωρισμού δεν εφαρμόζεται σε αυτή την αναζήτηση, οπότε εξετάστε τη λίστα τομέων και τυχόν πολιτική του προγράμματος περιήγησης μαζί με τον ιδιοκτήτη του χώρου ονομάτων. Αυτοί οι δύο κλάδοι έχουν διαφορετικούς ιδιοκτήτες, γι' αυτό το να καταγράψετε ποιον είδατε είναι πιο σημαντικό από το να καταγράψετε ότι κάτι χάλασε.

Αποκρύψτε την κοινόχρηστη έξοδο διατηρώντας τη δομή: ποιος χώρος ονομάτων, ποιος κανόνας, ποια κατηγορία απάντησης. Μια απάντηση resolver μπορεί να φέρει εσωτερικές διευθύνσεις και ονόματα κεντρικών υπολογιστών, και ένα αίτημα είναι μόνιμο σπίτι για τα δύο.

Στη συνέχεια παραδώστε το αποτέλεσμα στον ιδιοκτήτη του χώρου ονομάτων με τις δύο κατηγορίες που παρατηρήσατε και τα ονόματα αφαιρεμένα. Αυτή είναι μια συζήτηση πέντε λεπτών αντί για μια εβδομάδα εικασιών.