آزمون نشت DNS: نام Resolver مسیر نیست

سه چیدمان برای کاربر VPN DNS درست شمرده می‌شود: پرس‌وجو به Resolver اپراتور، پرس‌وجو به Resolver رمزنگاری‌شده‌ای که خودتان انتخاب کرده‌اید، و split DNS که نام‌های کاری را به سازمان می‌فرستد. آزمون نشت یک Resolver را گزارش می‌کند و آن یک برچسب نمی‌تواند بگوید واقعاً کدام چیدمان را دارید. نخست سیاست موردنظر را تعیین کنید، سپس در برابر آن آزمون بگیرید. وگرنه یک عدد را با یک حس مقایسه می‌کنید.

پیش از خواندن نتیجه تصمیم بگیرید چه می‌خواستید

سیاست را در یک جمله نام ببرید: همه نام‌ها به Resolver VPN، همه نام‌ها به Resolver رمزنگاری‌شده انتخاب‌شده، یا split DNS با نام‌های داخلی که به سازمان می‌روند. هر یک برای کاربری متفاوت قابل دفاع است و هر یک پاسخ موردانتظار متفاوتی می‌دهد. بدون آن جمله، هر نتیجه‌ای که با تصویر یک پست انجمن تفاوت داشته باشد هشداردهنده به نظر می‌رسد. سیاست را پیش از نخستین آزمون بنویسید.

آزمونی که پیش از تعریف سیاست انجام شود چیزی را اندازه نمی‌گیرد. نام یک Resolver بدون هیچ نقطه مرجع تولید می‌کند.

نام Resolver نه مسیر را ثابت می‌کند نه گیرنده را

دو پرسش مهم است: چه کسی پرس‌وجو را دریافت کرد و کدام مسیر آن را برد. می‌توان از طریق تونل به Resolver شخص ثالث رسید، در حالی که صفحه تنظیمات نشانی ارائه‌دهنده را نشان می‌دهد. برچسب صفحه آزمون نشت دید ناظر را توصیف می‌کند، نه جدول مسیریابی شما را.

مرورگر می‌تواند از DNS رمزنگاری‌شده خودش استفاده کند در حالی که ترافیک سایت از تونل می‌گذرد، و پاسخ‌های ذخیره‌شده می‌توانند امکان بارگذاری صفحه بدون جست‌وجوی تازه را بدهند. به همین دلیل نتیجه IP عمومی درباره DNS چیزی نمی‌گوید. DoH و DoT پرس‌وجو را در مسیر تا Resolver محافظت می‌کنند و آن Resolver هنوز نام‌ها را می‌بیند.

resolvectl status
resolvectl query example.com
dig +short example.com

Split DNS چند Resolver را درست می‌کند

سازمان ممکن است نام‌های داخلی را به DNS خودش بفرستد و بقیه را جای دیگر. بنابراین آزمونی که چند Resolver را فهرست می‌کند می‌تواند سیاست موردنظر را توصیف کند نه یک ایراد را. پیش از غیرفعال کردن هر چیزی، مجموعه مشاهده‌شده را با قواعد مستند split DNS مقایسه کنید. خاموش کردن Resolver داخلی برای اینکه صفحه آزمون تمیزتر دیده شود، نام‌های خصوصی را می‌شکند.

split tunneling و split DNS دو انتخاب متفاوت‌اند: یکی بسته‌ها را مسیریابی می‌کند و دیگری پرسش‌ها را. تغییر مسیر تونل جست‌وجوی نام را جابه‌جا نمی‌کند و تغییر Resolver مسیر یک وب‌سایت را درست نمی‌کند. IPv6 پرسش سوم است، زیرا اتصال ناخواسته IPv6 به‌طور خودکار نشت DNS نیست.

نتیجه را به یک بررسی تبدیل کنید

پیش از آزمون، سیاست موردنظر و تنظیم DNS امن مرورگر را ثبت کنید. آزمون را با تونل فعال اجرا کنید، هر Resolver که نام می‌برد را یادداشت کنید و مجموعه را با سیاست مقایسه کنید نه با یک نشانی موردانتظار.

اگر نشانه درست پس از اتصال دوباره ظاهر می‌شود، آزمون را تکرار کنید، زیرا سیاستی که هنگام اتصال اعمال شده می‌تواند بعداً از دست برود. برای استثناهای داخلی DNS از مستندات کلاینت استفاده کنید نه از حدس زدن تنظیمات.

ناسازگاری‌ای را که یافتید اصلاح کنید: یک انتخاب مرورگر، یک تنظیم DNS در VPN یا یک قاعده split DNS. اگر پرس‌وجوها باید هنگام شکست تونل متوقف شوند، kill switch تنظیمی جداگانه است و پیکربندی DNS به‌تنهایی آن را فراهم نمی‌کند. مشخصات RFC 8484 زمانی سودمند است که باید توضیح دهید Resolver رمزنگاری‌شده چه چیزی را پنهان می‌کند و چه چیزی را نه.