DNS ihes-test: resolutzailearen izena ez da ibilbidea

Resolutzailearen izenak ezin du esan DNSak tunela saihestu duen ala ez. Nahi zenuen politika erabaki, eta gero alderatu hartzailea, ibilbidea eta salbuespenak.

Hiru konfigurazio jotzen dira DNS zuzenetzat VPN erabiltzailearentzat: operadorearen resolutzaileari egindako kontsultak, zuk aukeratutako resolutzaile zifratuari egindakoak, eta lan-izenak erakundera bidaltzen dituen split DNSa. Ihes-test batek resolutzaile bat jakinarazten du, eta etiketa bakar horrek ezin du esan zein konfigurazio duzun benetan. Lehenengo erabaki nahi zenuen politika, eta gero probatu haren aurka. Bestela, zenbaki bat sentimendu batekin alderatzen ari zara.

Erabaki zer nahi zenuen emaitza irakurri aurretik

Izendatu politika esaldi bakarrean: izen guztiak VPN resolutzaileari, izen guztiak aukeratutako resolutzaile zifratu bati, edo split DNSa barne-izenak erakundera doazela. Bakoitza defendagarria da erabiltzaile desberdin batentzat, eta bakoitzak espero den erantzun desberdina sortzen du. Esaldi hori gabe, foroko mezu bateko pantaila-argazkitik desberdina den edozein emaitza kezkagarria dirudi. Idatzi politika lehen probaren aurretik.

Politika definitu aurretik egindako probak ez du ezer neurtzen. Erreferentzia-puntu gabeko resolutzaile-izen bat sortzen du.

Resolutzailearen izenak ez du ez bidea ez hartzailea frogatzen

Bi galdera dira garrantzitsuak: nork jaso zuen kontsulta eta zein ibilbidek eraman zuen. Hirugarrenen resolutzaile bat tunelaren bidez iris daiteke, ezarpenen pantailak hornitzailearen helbidea erakusten duen bitartean. Ihes-testaren orrialdeko etiketak behatzailearen ikuspegia deskribatzen du, ez zure bideratze-taula.

Nabigatzaileak bere DNS zifratua erabil dezake guneko trafikoa tunelatik doan bitartean, eta cachean dauden erantzunek orrialde bat kontsulta berririk gabe kargatzea ahalbidetu dezakete. Horregatik IP publikoaren emaitzak ez du ezer esaten DNSari buruz. DoH eta DoT kontsulta babesten dute resolutzailearen bidean, eta resolutzaile horrek oraindik izenak ikusten ditu.

resolvectl status
resolvectl query example.com
dig +short example.com

Split DNSak resolutzaile anitz zuzen bihurtzen ditu

Erakunde batek barne-izenak bere DNSera bidal ditzake eta beste guztia beste nonbaitera. Beraz, resolutzaile batzuk zerrendatzen dituen proba batek nahi zen politika deskriba dezake, ez matxura bat. Alderatu behatutako multzoa dokumentatutako split DNS arauekin, ezer desgaitu aurretik. Barne-resolutzailea itzaltzeak, proba-orrialdea garbiago ikus dadin, izen pribatuak hausten ditu.

Split tunneling eta split DNS aukera desberdinak dira: batek paketeak bideratzen ditu, besteak galderak. Tunelaren ibilbidea aldatzeak ez du izen-kontsulta mugitzen, eta resolutzailea aldatzeak ez du webgune baten bidea konpontzen. IPv6 hirugarren kontua da, nahi gabeko IPv6 konexio bat ez baita automatikoki DNS ihes bat.

Bihurtu emaitza ikerketa

Probatu aurretik, idatzi nahi zen politika eta nabigatzailearen DNS seguruaren ezarpena. Exekutatu proba tunela aktibo dagoela, idatzi aipatzen duen resolutzaile bakoitza, eta alderatu multzoa politikarekin, espero den helbide bakar batekin baino.

Errepikatu berriro konektatu ondoren sintoma orduan agertzen bada, konektatzean aplikatutako politika gero gal baitaiteke. Erabili bezeroaren dokumentazioa barne DNS salbuespenerako, ezarpenak asmatu beharrean.

Konpondu aurkitu duzun desadostasuna: nabigatzailearen aukera bat, VPNaren DNS ezarpena edo split DNS araua. Kontsultek tunela huts egiten duenean gelditu behar badute, kill switcha ezarpen bereizia da, eta DNS konfigurazioak bakarrik ez du emango. RFC 8484 zehaztapena erabilgarria da resolutzaile zifratuak zer ezkutatzen duen eta zer ez azaldu behar duzunean.

Erlazionatutako artikuluak