Testo pri DNS-liko: nomo de solvilo ne estas la itinero

Nomo de solvilo ne povas diri al vi, ĉu DNS preteriris la tunelon. Difinu la politikon, kiun vi volis, poste komparu la ricevanton, la itineron kaj la esceptojn.

Tri aranĝoj validas kiel ĝusta DNS por VPN-uzanto: demandoj al la solvilo de la funkciiganto, demandoj al ĉifrita solvilo, kiun vi mem elektis, kaj split DNS, kiu sendas labornomojn al la organizo. Testo pri liko raportas solvilon, kaj tiu sola etikedo ne povas diri, kiun aranĝon vi vere havas. Unue difinu la celitan politikon, poste testu kontraŭ ĝi. Alie vi komparas nombron kun sento.

Difinu, kion vi volis, antaŭ ol legi la rezulton

Nomu la politikon per unu frazo: ĉiuj nomoj al la VPN-solvilo, ĉiuj nomoj al elektita ĉifrita solvilo, aŭ split DNS kun internaj nomoj irantaj al la organizo. Ĉiu estas defendebla por malsama uzanto, kaj ĉiu produktas malsaman atenditan respondon. Sen tiu frazo, ĉiu rezulto malsama ol ekrankopio en forumafiŝo aspektas alarme. Skribu la politikon antaŭ la unua testo.

Testo farita antaŭ ol la politiko estas difinita mezuras nenion. Ĝi produktas nomon de solvilo sen iu ajn referencpunkto.

Nomo de solvilo pruvas nek la vojon nek la ricevanton

Du demandoj gravas: kiu ricevis la demandon, kaj kiu itinero portis ĝin. Oni povas atingi solvilon de tria partio tra la tunelo dum agorda ekrano montras la adreson de la provizanto. La etikedo sur likotesta paĝo priskribas la vidpunkton de la observanto, ne vian enkursigan tabelon.

Retumilo povas uzi sian propran ĉifritan DNS dum la trafiko de la retejo iras tra la tunelo, kaj kaŝmemoraj respondoj povas ebligi ŝarĝi paĝon sen nova serĉo. Tial rezulto de publika IP diras nenion pri DNS. DoH kaj DoT protektas la demandon survoje al la solvilo, kaj tiu solvilo ankoraŭ vidas la nomojn.

resolvectl status
resolvectl query example.com
dig +short example.com

Split DNS igas plurajn solvilojn ĝustaj

Organizo povas sendi internajn nomojn al sia propra DNS kaj ĉion alian aliloken. Testo, kiu listigas plurajn solvilojn, do povas priskribi la celitan politikon anstataŭ difekton. Komparu la observitan aron kun la dokumentitaj split-DNS-reguloj antaŭ ol malŝalti ion ajn. Malŝalti la internan solvilon por ke testa paĝo aspektu pli pura rompas privatajn nomojn.

Split tunneling kaj split DNS estas malsamaj elektoj: unu enkursigas pakaĵojn, la alia enkursigas demandojn. Ŝanĝi tunelan itineron ne movas nomserĉon, kaj ŝanĝi la solvilon ne riparas vojon de retejo. IPv6 estas tria demando, ĉar neintenca IPv6-konekto ne estas aŭtomate DNS-liko.

Turnu la rezulton en enketon

Notu la celitan politikon kaj la agordon de sekura DNS de la retumilo antaŭ la testado. Rulu la teston kun aktiva tunelo, notu ĉiun solvilon, kiun ĝi nomas, kaj komparu la aron kun la politiko anstataŭ kun unu atendita adreso.

Ripetu post rekonekto, se la simptomo aperas tiam, ĉar politiko aplikita ĉe konekto povas perdiĝi poste. Uzu la dokumentaron de la kliento por internaj DNS-esceptoj anstataŭ diveni la agordojn.

Riparu la malkongruon, kiun vi trovis: retumilan elekton, VPN-DNS-agordon aŭ split-DNS-regulon. Se demandoj devas halti kiam la tunelo fiaskas, la kill switch estas aparta agordo, kaj DNS-agordo sola ne provizos ĝin. La specifo RFC 8484 utilas kiam vi devas klarigi, kion ĉifrita solvilo kaŝas kaj kion ne.

Rilataj artikoloj