Split tunnel jättää selaimen ulkopuolelle, ei sen DNS-kyselyitä

Selain jätetty tunnelin ulkopuolelle, julkinen IP-sivu vahvistaa, että sen liikenne lähtee kotiyhteyden kautta, eikä sisäinen wiki silti avaudu. Nimien selvitys meni muualle, ja se muualle on yleensä resolveri, jonka VPN asetti. Datapolku ja resolveripolku ovat erillisiä päätöksiä useimmissa split tunnel-ratkaisuissa. Tarkista, kumpaa selain todella käytti, ennen kuin kutsut poissulkua rikkinäiseksi.

Datapolku ja resolveripolku eroavat

Poissulku poistaa sovelluksen paketit tunnelista, mikä on reititys- ja palomuuripäätös datapolulla. Nimien selvitys on eri haku: prosessi kysyy järjestelmän resolverilta, ja se resolveri päättää, mikä palvelin saa kysymyksen.

Molemmat voivat olla tarkoituksellisia ja erilaisia. Työkäyttöönotto voi pitää sisäiset nimiavaruudet yrityksen resolverilla ja lähettää valitun julkisen selailun tunnelin ulkopuolelle juuri siksi, ettei sisäisiä nimiä selvitetä missään muualla. Hämmentävä tapaus on päinvastainen: julkinen sivusto epäonnistuu, koska selain ei koskaan kysynyt resolverilta, jota käyttöönotto odotti. Kirjaa reitti ja resolveri erikseen, ja puolet väittelyistä katoaa.

Selvitä, mikä prosessi esittää kysymyksen

Selain voi käyttää järjestelmän resolveria, omaa salattua DNS-palveluaan tai resolveria, jonka käyttöjärjestelmä määrittää verkkokohtaisesti. Ensimmäinen noudattaa alustan käytäntöä, toinen ohittaa sen kokonaan, ja kolmas riippuu siitä, mille linkille kysely reititetään.

resolvectl status
resolvectl query intranet.example.net
dig +short +time=2 intranet.example.net @10.52.0.2
scutil --dns | head -n 40

Lue voimassa oleva kokoonpano ennen testaamista: mitkä linkit kantavat DNS-palvelimia, mitä nimiavaruuksia ne vaativat ja ohittaako nimikohtainen käytäntö oletuksen. Linuxissa split DNS käyttää reititysverkkotunnuksia; Windowsissa nimien selvityksen käytäntötaulu tekee saman nimiavaruuksille. Kumpikaan ei näy vuototestisivulta.

Päätä, mikä resolveri näkee minkä nimen

Kirjoita aiottu kartoitus ennen kuin muutat mitään: sisäiset nimet yrityksen resolverille, julkiset nimet palvelulle, jonka käytäntö sallii, ja poikkeukset omistajan kanssa. Ilman sitä luetteloa jokaisesta vuototestin merkistä tulee käytäntökiista, jota kukaan ei voi ratkaista.

Tarkista sitten selaimen oma asetus, koska selaimen salattu DNS otetaan käyttöön ennen kuin käyttöjärjestelmä saa kyselyn. Käyttäjä, joka otti sen käyttöön kiertääkseen captive-portaalin, on hiljaa ohittanut resolverin, jonka käyttöönotto valitsi. Se on kokoonpanopäätös eikä vuoto, ja se ansaitsee päätöksen eikä estolistaa.

Älä kirjoita uudelleen jokaista DNS-kenttää, jotta yksi testimerkki muuttuisi vihreäksi. Merkki kuvaa yhden prosessin yhtä kyselyä yhdellä hetkellä.

Tarkista kysely ja yhteys erikseen

Testaa kahta polkua erikseen. Yhteystesti näyttää datareitin, ja resolveritesti näyttää, kuka nimen sai.

curl -sS --max-time 8 https://api.ipify.org
resolvectl query example.net
dig +short example.net

Kysy resolverilta myös nimenomaisesti, jotta epäonnistuminen voidaan laskea palvelimen eikä polun syyksi. Käynnistä sitten selain uudelleen ja toista, koska sovellukset välimuistittavat kielteiset vastaukset ja vanha epäonnistuminen näyttää pysyvältä.

Kirjaa hyväksytyn muutoksen jälkeen datareitti ja resolverin vastaanottaja kahtena erillisenä rivinä päivämäärän kanssa. Jos käytös palaa seuraavassa yhteydessä, korjattava on profiili, joka sen tarjoaa, ei selain.