DNS-lekke test: resolveri nimi ei ole marsruut

Resolveri nimi ei ütle, kas DNS läks tunnelist mööda. Otsustage soovitud poliitika ja seejärel võrrelge saajat, marsruuti ja erandeid.

VPN-i kasutaja jaoks loetakse õigeks DNS-iks kolme korraldust: päringud operaatori resolverile, päringud teie valitud krüpteeritud resolverile ja split DNS, mis saadab töönimed organisatsiooni. Lekketest teatab resolverist ja see üks silt ei ütle, milline korraldus teil tegelikult on. Otsustage esmalt kavatsetud poliitika ja testige siis selle vastu. Muidu võrdlete numbrit tundega.

Otsustage, mida te tahtsite, enne kui tulemust loete

Nimetage poliitika ühe lausega: kõik nimed VPN-i resolverile, kõik nimed valitud krüpteeritud resolverile või split DNS, kus sisemised nimed lähevad organisatsiooni. Igaüks on kaitstav erineva kasutaja jaoks ja igaüks annab erineva oodatud vastuse. Ilma selle lauseta tundub iga tulemus, mis erineb foorumipostituse ekraanipildist, häiriv. Kirjutage poliitika enne esimest testi üles.

Enne poliitika määratlemist tehtud test ei mõõda midagi. See annab resolveri nime ilma ühegi võrdlusaluseta.

Resolveri nimi ei tõesta ei teed ega saajat

Olulised on kaks küsimust: kes päringu sai ja milline marsruut seda kandis. Kolmanda osapoole resolverile võib pääseda tunneli kaudu, samal ajal kui seadete ekraan näitab teenusepakkuja aadressi. Lekketesti lehe silt kirjeldab vaatleja vaadet, mitte teie marsruutimistabelit.

Brauser võib kasutada oma krüpteeritud DNS-i, samal ajal kui saidi liiklus läheb tunnelist, ja vahemällu salvestatud vastused võivad lasta lehel laadida ilma uue päringuta. Seetõttu ei ütle avaliku IP tulemus DNS-i kohta midagi. DoH ja DoT kaitsevad päringut teel resolverini ja see resolver näeb nimesid endiselt.

resolvectl status
resolvectl query example.com
dig +short example.com

Split DNS muudab mitu resolverit õigeks

Organisatsioon võib saata sisemised nimed oma DNS-i ja kõik muu mujale. Seega võib mitut resolverit loetlev test kirjeldada kavatsetud poliitikat, mitte viga. Võrrelge täheldatud kogumit dokumenteeritud split DNS reeglitega enne, kui midagi välja lülitate. Sisemise resolveri väljalülitamine, et testileht puhtam välja näeks, rikub privaatseid nimesid.

Split tunneling ja split DNS on erinevad valikud: üks marsruudib pakette, teine küsimusi. Tunneli marsruudi muutmine ei liiguta nimeotsingut ja resolveri muutmine ei paranda veebisaidi teed. IPv6 on kolmas küsimus, sest soovimatu IPv6-ühendus ei ole automaatselt DNS-leke.

Muutke tulemus uurimiseks

Enne testimist kirjutage üles kavatsetud poliitika ja brauseri turvalise DNS-i seade. Käivitage test aktiivse tunneliga, märkige üles iga resolver, mida see nimetab, ja võrrelge kogumit poliitikaga, mitte ühe oodatud aadressiga.

Korrake pärast uuesti ühendamist, kui sümptom ilmneb just siis, sest ühendamisel rakendatud poliitika võib hiljem kaduda. Kasutage sisemiste DNS-erandite jaoks kliendi dokumentatsiooni, selle asemel et seadeid oletada.

Parandage leitud lahknevus: brauseri valik, VPN-i DNS-i seade või split DNS reegel. Kui päringud peavad seisma, kui tunnel ebaõnnestub, on kill switch eraldi seade ja ainult DNS-i konfiguratsioon seda ei anna. Spetsifikatsioon RFC 8484 on kasulik, kui peate selgitama, mida krüpteeritud resolver varjab ja mida mitte.

Seotud artiklid