Zure VPNak hiru DNS zerbitzari bultzatzen ditu: zein erantzuten du?

Konektatu ondoren, ireki ezarpenen orria eta hiru DNS helbide agertuko dira; auditoriaren galdera zeinek artatu zuen zure azken kontsulta da. Zenbakiak bakarrik ez du ezer erantzuten, bezeroaren bultzadak, interfaze fisiko batek eta domeinu bakoitzeko politikak elkar ikuspegi berean idazten baitute. Sarrera horiek esparru desberdinak dituzte, eta esparruak, ez kokapenak, erabakitzen du nork erantzuten duen. Hasi iturriak bereizten, eta gero probatu axola zaizun izena duen iturria.

Zergatik da zerrenda zure profiletik luzeagoa

VPN bezero batek resolver helbideak bultzatzen ditu tuneleko estekarako, eta sistema eragileak horiek aldamenean gordetzen ditu interfaze fisikoak lehendik zeukanarekin batera. Bideratzaile batek, enpresako DHCP maiztasun batek, bigarren VPN batek eta domeinu bakoitzeko politikak sarrera propioak gehitzen dituzte. Hortaz, orriko hiru helbideek hiru esparru esan nahi ditzakete, lan batetarako hiru hautagai izan beharrean. Zenbakia ihes baten froga gisa irakurtzea auditoria honetako lehen akatsa da.

Interfaze baten barruan bezeroak bere zerbitzariak ordenan probatzen ditu, beraz ordenatutako zerrenda ez da zentzugabea. Ilera ez dena ikuspegi bateratua da, non profileko, esteka fisikoko eta domeinu bakoitzeko erregelen sarrerak elkarren ondoan dauden sailkapen bakarrik gabe. Bereizketa horrek erabakitzen du zer probatzen duzun: ordenak esparru baten barruko portaera azaltzen du, eta esparruak gainerako guztia.

DNS deszifratuak koadroa aplikazio baten barrutik hausten du. Bere DNS-over-HTTPS resolver propioa duen nabigatzaile edo txat bezero batek kontsultak sistema eragilearen zerrenda erabat saihestuz bidaltzen ditu, beraz ezarpenen orriko helbideek aplikazioak inoiz sortu ez zuen trafikoa deskribatzen dute. Egiaztatu aplikazioaren beraren resolver ezarpena profilesi errua eman aurretik oker atera zen izen batengatik.

Hiru egiaztapenetako bakoitzak zer esaten duen

Iturri bakoitzak bere arrastoa leku desberdinean uzten du, eta komando bakar batek ez ditu denak erakusten. Hona hemen ezarpenen orriaren ondoan edukitzea merezi duen mapaketa:

systemd-resolved erabiltzen duen sistema batean, resolvectl status da agintaritza, DNS esteka bakoitzeko bideratze domeinuekin batera ematen baitu. macOSek scutil --dns bidez erantzuten du, eta horrek esparruko resolverrak probatzen diren ordenan zerrendatzen ditu. Windowsek bi erdiak banatzen ditu: Get-DnsClientServerAddress interfaze bakoitzeko zerbitzarietarako eta Get-DnsClientNrptPolicy atzizki arauetarako. Exekutatu benetan erabiltzen ari den resolverrarena den komandoa, edukiontzien exekuzio ingurunea eta mahaigaineko resolverra dituen makinak bat baino gehiago instalatuta izan baititzake.

Zure zona erantzun ezin duen ordezko resolverra

Bigarren sarrera normalean erabilgarritasunagatik dago, eta erabilgarritasunak soilik funtzionatzen du ordezkoak izenak ezagutzen baditu. Galdetu resolver publiko bati barneko ostalari izen bat eta NXDOMAIN itzuliko du, edo zerikusirik ez duen bilaketa domeinu baten komodin erantzuna. Inork egiaztatu gabeko ordezko pasabideak eten bat sortzen du behar den une zehatzean.

Split DNS hori saihesteko dago: enpresaren atzizkiak zona duen resolverrera doaz, eta izen publikoak bide lehenetsian geratzen dira. Diseinua sendoa da, eta atzizkien zerrenda osoa izatearen mende dago. Microsoftek atzizki bakoitzeko resolver politika dokumentatzen du, Windowsetan hori gidatzen duena, eta ideia bera agertzen da bideratze domeinu gisa systemd-resolved-en eta esparruko resolver gisa macOSen.

Konparatu ordezkoak erantzun ditzakeen zonak politikan dauden atzizkiekin. Konparaketa horrek hutsunea aurkitzen du erabiltzaile batek tunel aldaketa baten ondoren barneko gune bat ebazteari utzi ziola jakinarazi aurretik.

Galdetu politikaren bidez, haren inguruan ibili gabe

Galdetu sistema eragilearen resolverraren bidez, zerbitzari bati zuzenean egindako kontsulta batek politika saihesten baitu eta zerbitzari horrek esango lukeena soilik ematen baitu. Bi erantzunen arteko hutsunea da kontua:

resolvectl query intranet.example.com
dig +short intranet.example.com @198.51.100.53

Sistemaren kontsultak helbide pribatu bat itzultzen badu eta zuzenekoak NXDOMAIN, politika ondo dabil eta ordezkoa da ahultasun puntua. Biek erantzun publiko bera itzultzen badute, izena nahi zenuen esparrutik kanpo ebazten ari da, eta atzizkien zerrenda da begiratzeko tokia. Gorde bi irteerak, resolver eztabaida lerro bikarekin azkarrago konpontzen baita ezarpenen orriaren pantaila-argazki batekin baino.

Gero entrenatu hutsegite bidea, inork probatu ez duen ordezko bat hipotesi bat baita. Bihurtu hobetsitako resolverra zulo beltz kontsulta batetarako eta begiratu zein helbide itzultzen den:

ip route add blackhole 198.51.100.53/32
resolvectl query intranet.example.com
ip route del blackhole 198.51.100.53/32

Ezabatu ibilbide hori kontsulta amaitzean bertan, bestela hurrengo pertsonak misterio bat heredatzen du. Leiho horretan barne izenak oraindik ebazten badira, esparru horretatik kanpoko zerbait izan zen erantzun zuena. Horren ordez denbora-muga badute, ordezkoa falta da edo behar bezala mugatuta dago, eta resolverraren beraren erregistroak esango dizu bietatik zein izan zen.

Erabaki: eutsi, mugatu edo kendu

Eutsi bigarren resolver bati behar duzun izen espazioari erantzuten dionean eta profilean sarbidegarri jarraitzen duenean. Mugatu ezazu atzizki bat soilik ikusi behar duenean, eta kendu ezazu ez esparrurik ez helburu dokumentaturik ez duenean. Lanik gabeko sarrera etorkizuneko ihes bat da onurarik gabe, eta hornitzailearen balio lehenetsia ez da helburua.

Erregistratu emaitza lau zutabe gisa: atzizki, resolver, interfaze eta jabe. Lerro horrek hurrengo auditoria galderari erantzuten dio edozein pantaila-argazkik baino azkarrago, eta zerrenda isilki berrantolatzen duen bezeroaren eguneratzea gainditzen du.