Split-DNS atzematea: esan non hartu zen behaketa bakoitza

Bi pertsonek Split-DNS arazo bera diagnostikatzen dute eta resolver helbide desberdinak lortzen dituzte. Batek bilaketa-tresna erabili zuen, beste batek paketeak atzeman zituen egokigailuan, eta hirugarren batek bezeroaren beraren diagnostikoak irakurri zituen. Inor ez da gezurretan ari, eta inork ez du etapa bera deskribatzen. Behaketa-puntua izendatzeak kontraesana mapa bihurtzen du.

Bilaketa bat, hainbat behaketa-puntu

Barne-izen bakar baterako gutxienez bost leku daude begiratzeko: aplikazioa eta deitzen duen resolver APIa, bezeroan indarrean dagoen domeinu-politika, egokigailuan edo iragazkian egindako atzematea, kontrolatutako ate-muga bat eta kontsulta benetan jasotzen duen resolverra.

Bakoitzak galdera desberdin bati erantzuten dio, eta batek bakarrik ez du frogatzen kontsulta noraino joan zen.

Egokigailuko atzemateak paketeak erakusten ditu, ez asmoa. Ez du esaten bezeroak zein resolver aukeratu zuen, eta atzemate hutsak cachean gordetako erantzun bat edo beste resolver API bat esan nahi dezake, baztertutako pakete bat beharrean. Hartu behaketa bakoitza etapa bati buruzko froga gisa. Ondoren, muntatu etapak bide batean.

Bezeroaren iragazkia aplikazioaren eta kablearen artean dago

Split-DNS duen VPN bezero batek domeinu-konkordantzia aplikatzen du paketea makinatik irten aurretik. Tunelatutako atzizkiaren izenak barneko resolverrera doaz; beste guztia tokikora doa. Iragazkia politika da, eta politika plataformaren eta bezeroaren bertsioaren arabera alda daiteke.

Ciscoren Secure Client-en Split-DNS gida domeinu-konkordantziaz eta Windows iragazkiaz arduratzen da, eta aplikazio batek resolver API natiboa erabiltzean ikusten duena nslookup bezalako tresna batek ikusten duenetik bereizten du. Desberdintasun horiek dira kontua.

Hasi indarrean dagoen profiletik eta aplikazioaren bilaketa arrunt batetik. Zerbitzari esplizitu bat izendatzen duen edozein proba nahita egindako saihesbidea da; erabili bezeroaren beraren diagnostikoak azaltzeko, eta ez utzi onarpen-irizpide bihurtzen.

nslookup-ek aplikazioak baino bide desberdina hartzen du

nslookup-ek bere DNS kontsulta eraikitzen du eta sistema eragilearen resolver politikari saihestu diezaioke. Horrek tresna erabilgarri egiten du zerbitzari jakin bati galdera jakin bat egiteko, eta tresna engainagarri aplikazio batek zer biziko duen probatzeko.

Windowsen, izen-ebazpenaren politika-taulak erabakitzen du zein atzizkik zein zerbitzari erabiltzen duen. Hura irakurtzeak aplikazioak jarraituko duen politika erakusten du, eta askotan hori da falta den pieza.

Irakurri politika eta gero egin galdera bera resolver arruntaren bidez:

Get-DnsClientNrptPolicy
Resolve-DnsName intranet.hq.example

Resolver zifratuek kontsulta ezkutatzen dute, ez konexioa

Bere DNS-over-HTTPS resolver propioa duen nabigatzailea erabat beste kasu bat da. Kontsulta TLS barruan irteten da, beraz pakete-atzemate batek resolver helbide baterako konexioa erakusten du, baina ez galdetzen ari den izena.

Argitu lehenik nabigatzailearen politika kudeatua, eta gero alderatu sistema eragileko bilaketa batekin. Bere resolver propioa aukeratzeko baimena duen nabigatzaileak agian ez du Split-DNS politika inoiz ikusiko.

Kontuz berak edukitzen duen edozein bezerori aplikatzen zaio. Konexio urruneko identifikatzen duen atzemate bat ez da kontsultaren izenari buruzko froga. Izena behar baduzu, hartu resolverraren beraren erregistroetatik edo aplikazioaren diagnostikoetatik, aplikatzen diren pribatutasun-arauekin.

Alderatu etiketatutako proba batekin

Aukeratu barne-izen onartu bat probarako, eta horrekin batera esanahi sentikorrik ez duen izen publiko bat. Bakoitzarentzat, erregistratu ordua, erregistro mota, erantzuna eta espero zenuen politika.

Onartzen den lekuetan, alderatu resolverraren harrera bezeroaren edo atearen behaketa estu batekin:

nslookup intranet.hq.example 10.55.0.53
Get-DnsClientNrptPolicy | Format-List

Inoiz ez bidali izen pribatuak zerikusirik ez duten resolver publikoei soilik konparazio bat sortzeagatik, eta editatu partekatzen duzun guztia. Azkenik, bereizi DNS erantzun zuzena ondoren datorren zerbitzu-konexiotik: ebatzitako helbide pribatuak bidea eta aplikazioaren baimena behar ditu oraindik.