DNS-vuototesti: Resolverin nimi ei ole reitti

Kolme järjestelyä lasketaan oikeaksi DNS:ksi VPN-käyttäjälle: kyselyt operaattorin resolverille, kyselyt valitsemallesi salatulle resolverille ja split DNS, joka lähettää työnimet organisaatiolle. Vuototesti ilmoittaa resolverin, eikä tuo yksi merkintä kerro, mikä järjestely sinulla todella on. Päätä ensin aiottu käytäntö ja testaa sitten sitä vasten. Muuten vertaat numeroa tunteeseen.

Päätä, mitä halusit, ennen kuin luet tuloksen

Nimeä käytäntö yhdellä lauseella: kaikki nimet VPN:n resolverille, kaikki nimet valitulle salatulle resolverille tai split DNS, jossa sisäiset nimet menevät organisaatiolle. Jokainen on perusteltavissa eri käyttäjälle, ja jokainen tuottaa erilaisen odotetun vastauksen. Ilman tuota lausetta mikä tahansa tulos, joka poikkeaa foorumiviestin kuvakaappauksesta, näyttää hälyttävältä. Kirjoita käytäntö muistiin ennen ensimmäistä testiä.

Ennen käytännön määrittelyä tehty testi ei mittaa mitään. Se tuottaa resolverin nimen ilman mitään vertailukohtaa.

Resolverin nimi ei todista reittiä eikä vastaanottajaa

Kaksi kysymystä ratkaisee: kuka vastaanotti kyselyn ja mikä reitti sen kuljetti. Kolmannen osapuolen resolveriin voi päästä tunnelin kautta, vaikka asetusnäyttö näyttää palveluntarjoajan osoitteen. Vuototestisivun merkintä kuvaa tarkkailijan näkymää, ei sinun reititystauluasi.

Selain voi käyttää omaa salattua DNS:äänsä, kun sivuston liikenne kulkee tunnelin läpi, ja välimuistissa olevat vastaukset voivat sallia sivun latautumisen ilman uutta kyselyä. Siksi julkisen IP:n tulos ei kerro DNS:stä mitään. DoH ja DoT suojaavat kyselyn matkalla resolverille, ja tuo resolver näkee nimet edelleen.

resolvectl status
resolvectl query example.com
dig +short example.com

Split DNS tekee useista resolvereista oikeita

Organisaatio voi lähettää sisäiset nimet omalle DNS:lleen ja kaiken muun muualle. Siksi useita resolvereita listaava testi voi kuvata aiottua käytäntöä eikä vikaa. Vertaa havaittua joukkoa dokumentoituihin split DNS -sääntöihin ennen kuin poistat mitään käytöstä. Sisäisen resolverin sammuttaminen, jotta testisivu näyttäisi siistimmältä, rikkoo yksityiset nimet.

Split tunneling ja split DNS ovat eri valintoja: toinen reitittää paketteja, toinen kysymyksiä. Tunnelireitin muuttaminen ei siirrä nimihakua, eikä resolverin vaihtaminen korjaa verkkosivuston polkua. IPv6 on kolmas kysymys, koska tahaton IPv6-yhteys ei ole automaattisesti DNS-vuoto.

Muuta tulos tutkinnaksi

Kirjaa aiottu käytäntö ja selaimen suojatun DNS:n asetus ennen testaamista. Suorita testi tunneli aktiivisena, kirjaa jokainen mainittu resolveri ja vertaa joukkoa käytäntöön eikä yhteen odotettuun osoitteeseen.

Toista uudelleenyhdistämisen jälkeen, jos oire ilmenee silloin, koska yhdistämisen yhteydessä sovellettu käytäntö voi kadota myöhemmin. Käytä asiakkaan dokumentaatiota sisäisiin DNS-poikkeuksiin sen sijaan, että arvaisit asetuksia.

Korjaa havaittu ristiriita: selainvalinta, VPN:n DNS-asetus tai split DNS -sääntö. Jos kyselyjen on loputtava, kun tunneli pettää, kill switch on erillinen asetus, eikä pelkkä DNS-kokoonpano tuota sitä. RFC 8484 -määritelmä on hyödyllinen, kun sinun on selitettävä, mitä salattu resolveri kätkee ja mitä ei.