Split-tunnel jätab brauseri välja, mitte selle DNS-päringud

Brauser tunnelist välja jäetud, avaliku IP leht kinnitab, et selle liiklus väljub koduse ühenduse kaudu, ja sisemine wiki ei avane ikkagi. Nime lahendamine läks kuhugi mujale ja see mujal on tavaliselt resolver, mille VPN seadistas. Andmetee ja resolveri tee on enamikus split-tunneli kavandites eraldi otsused. Kontrollige, kumba brauser tegelikult kasutas, enne kui nimetate väljajätmise katkiseks.

Andmetee ja resolveri tee eralduvad

Väljajätmine eemaldab rakenduse paketid tunnelist, mis on andmeteel olev marsruutimis- ja tulemüüriotsus. Nime lahendamine on teine otsing: protsess küsib süsteemi resolverilt ja see resolver otsustab, milline server küsimuse saab.

Mõlemad võivad olla tahtlikud ja erinevad. Töökohaline juurutus võib hoida sisemised nimeruumid ettevõtte resolveri juures, saates samal ajal valitud avaliku veebilehitsemise tunnelist välja, just sellepärast et sisemised nimed ei lahendu mujal. Segadust tekitav juhtum on vastupidine: avalik sait ei tööta, sest brauser ei küsinud kunagi resolverit, mida juurutus ootas. Kirjutage marsruut ja resolver eraldi üles ning pool vaidlustest kaob.

Leidke, milline protsess küsimuse esitab

Brauser võib kasutada süsteemi resolverit, oma krüpteeritud DNS-teenust või resolverit, mille operatsioonisüsteem määrab iga võrgu jaoks. Esimene järgib platvormi poliitikat, teine möödub sellest poliitikast täielikult ja kolmas sõltub sellest, millisele lingile päring marsruuditakse.

resolvectl status
resolvectl query intranet.example.net
dig +short +time=2 intranet.example.net @10.52.0.2
scutil --dns | head -n 40

Lugege kehtivat konfiguratsiooni enne testimist: millised lingid kannavad DNS-servereid, milliseid nimeruume need väidavad ja kas nimepõhine poliitika alistab vaikeväärtuse. Linuxis kasutab split DNS marsruutimisdomeene; Windowsis teeb nimeruumide jaoks sama tööd nime lahendamise poliitika tabel. Kumbagi ei ole lekketesti lehelt näha.

Otsustage, milline resolver millist nime näeb

Kirjutage kavandatud vastendus enne muudatuste tegemist: sisemised nimed ettevõtte resolverile, avalikud nimed teenusele, mida poliitika lubab, ja erandid koos omanikuga. Ilma selle loendita muutub iga lekketesti silt poliitikavaidluseks, mida keegi ei suuda lõpetada.

Seejärel kontrollige brauseri enda seadet, sest brauseri krüpteeritud DNS rakendub enne, kui operatsioonisüsteem päringu kätte saab. Kasutaja, kes lubas selle kinnise portaali möödamiseks, on vaikselt alistanud resolveri, mille juurutus valis. See on konfiguratsiooniotsus, mitte leke, ja see väärib otsust, mitte blokeerimisnimekirja.

Ärge kirjutage ümber iga DNS-välja, et üks testisilt roheliseks muutuks. Silt kirjeldab ühe protsessi üht päringut ühel hetkel.

Kontrollige päringut ja ühendust eraldi

Testige mõlemat teed eraldi. Ühenduse test näitab andmemarsruuti ja resolveri test näitab, kes nime sai.

curl -sS --max-time 8 https://api.ipify.org
resolvectl query example.net
dig +short example.net

Küsige resolverit ka selgesõnaliselt, et tõrge omistataks serverile, mitte teele. Seejärel taaskäivitage brauser ja korrake, sest rakendused vahemällu salvestavad eitavaid vastuseid ja vana tõrge näib püsivana.

Pärast heakskiidetud muudatust kirjutage andmemarsruut ja resolveri saaja kahe eraldi reana koos kuupäevaga üles. Kui käitumine järgmisel ühendusel naaseb, tuleb parandada profiili, mis selle annab, mitte brauserit.