DNS-lektest: in resolvernamme is net de rûte

In resolvernamme kin jo net fertelle oft DNS de tunnel foarby gie. Bepale it belied dat jo woene, en fergelykje dan de ûntfanger, de rûte en de útsûnderings.

Trije regelingen jilde as korrekte DNS foar in VPN-brûker: fragen oan de resolver fan de operator, fragen oan in fersifere resolver dy't jo sels keazen hawwe, en split DNS dy't wurknammen nei de organisaasje stjoert. In lektest rapportearret in resolver, en dat iene label kin jo net fertelle hokker regeling jo echt hawwe. Bepale earst it bedoelde belied en test dan dêroan. Oars fergelykje jo in getal mei in gefoel.

Bepale wat jo woene foardat jo it resultaat lêze

Neam it belied yn ien sin: alle nammen nei de VPN-resolver, alle nammen nei in keazen fersifere resolver, of split DNS wêrby't ynterne nammen nei de organisaasje geane. Elk is ferdigenber foar in oare brûker, en elk jout in oar ferwacht antwurd. Sûnder dy sin liket elk resultaat dat fan in skermôfbylding yn in forumberjocht ferskilt, alaarmearjend. Skriuw it belied op foar de earste test.

In test dy't dien wurdt foardat it belied fêststeld is, mjit neat. Hy jout in resolvernamme sûnder ien referinsjepunt.

In resolvernamme bewissiget noch it paad noch de ûntfanger

Twa fragen binne wichtich: wa't de fraach krige, en hokker rûte dy droech. In resolver fan in tredde partij is troch de tunnel berikber wylst in ynstellingsskerm it adres fan de provider toant. It label op in lektestside beskriuwt it eachpunt fan de waarnimmer, net jo routingstabel.

In browser kin syn eigen fersifere DNS brûke wylst it ferkear fan de side troch de tunnel giet, en antwurden út de buffer kinne in side lade sûnder nije syktocht. Dêrom seit in resultaat fan in iepenbier IP neat oer DNS. DoH en DoT beskermje de fraach ûnderweis nei de resolver, en dy resolver sjocht de nammen noch.

resolvectl status
resolvectl query example.com
dig +short example.com

Split DNS makket meardere resolvers korrekt

In organisaasje kin ynterne nammen nei syn eigen DNS stjoere en al it oare earne oars hinne. In test dy't ferskate resolvers neamt, kin dêrom it bedoelde belied beskriuwe ynstee fan in fout. Fergelykje de waarnommen set mei de dokumintearre split DNS-regels foardat jo eat útskeakelje. De ynterne resolver útsette sadat in testside skjinner liket, brekt partikuliere nammen.

Split tunneling en split DNS binne ferskillende karren: de iene rûtelet pakketten, de oare rûtelet fragen. In tunnelrûte feroarje ferpleatst gjin nammesyky, en de resolver feroarje reparearret gjin paad fan in website. IPv6 is in tredde fraach, want in ûnbedoelde IPv6-ferbining is net automatysk in DNS-lek.

Meitsje fan it resultaat in ûndersyk

Skriuw it bedoelde belied en de ynstelling foar feilige DNS fan de browser op foardat jo testen. Rin de test mei de tunnel aktyf, notearje elke resolver dy't er neamt, en fergelykje de set mei it belied ynstee fan mei ien ferwacht adres.

Werhelje nei in nije ferbining as it symptoom dan ferskynt, want in belied dat by it ferbinen tapast wurdt, kin letter ferlern gean. Brûk de dokumintaasje fan de klant foar ynterne DNS-útsûnderings ynstee fan de ynstellingen te rieden.

Reparearje de mismatching dy't jo fûn hawwe: in browserkar, in VPN-DNS-ynstelling of in split DNS-regel. As fragen stopje moatte as de tunnel útkomt, is de kill switch in aparte ynstelling, en DNS-konfiguraasje allinnich sil dy net leverje. De spesifikaasje RFC 8484 is nuttich as jo útlegje moatte wat in fersifere resolver ferberget en wat net.

Relatearre artikelen