Proba de fuga de DNS: o nome do resolutor non é a ruta

Tres disposicións contan como DNS correcto para un usuario de VPN: consultas ao resolutor do operador, consultas a un resolutor cifrado que escolleses e DNS dividido que envía os nomes de traballo á organización. Unha proba de fuga informa dun resolutor, e esa única etiqueta non che pode dicir que disposición tes realmente. Decide primeiro a política prevista e despois proba contra ela. Se non, comparas un número cunha sensación.

Decide que querías antes de ler o resultado

Nomea a política nunha frase: todos os nomes ao resolutor da VPN, todos os nomes a un resolutor cifrado escollido, ou DNS dividido cos nomes internos cara á organización. Cada unha é defendible para un usuario distinto, e cada unha produce unha resposta esperada distinta. Sen esa frase, calquera resultado que difira dunha captura nun fío de foro parece alarmante. Escribe a política antes da primeira proba.

Unha proba feita antes de definir a política non mide nada. Produce un nome de resolutor sen ningún punto de referencia.

Un nome de resolutor non demostra nin a ruta nin o destinatario

Importan dúas preguntas: quen recibiu a consulta e que ruta a levou. Pódese chegar a un resolutor de terceiros a través do túnel mentres unha pantalla de axustes mostra o enderezo do provedor. A etiqueta dunha páxina de proba de fuga describe a visión do observador, non a túa táboa de encamiñamento.

Un navegador pode usar o seu propio DNS cifrado mentres o tráfico do sitio pasa polo túnel, e as respostas na caché poden permitir cargar unha páxina sen unha consulta nova. Por iso un resultado de IP pública non di nada sobre DNS. DoH e DoT protexen a consulta no traxecto ata o resolutor, e ese resolutor segue vendo os nomes.

resolvectl status
resolvectl query example.com
dig +short example.com

O DNS dividido fai correctos varios resolutores

Unha organización pode enviar os nomes internos ao seu propio DNS e todo o demais a outro lugar. Por iso unha proba que enumera varios resolutores pode describir a política prevista e non unha avaría. Compara o conxunto observado coas regras de DNS dividido documentadas antes de desactivar nada. Apagar o resolutor interno para que unha páxina de proba se vexa máis limpa rompe os nomes privados.

O encamiñamento dividido e o DNS dividido son decisións distintas: un encamiña paquetes, o outro encamiña preguntas. Cambiar unha ruta do túnel non move unha consulta de nome, e cambiar o resolutor non arranxa a ruta dun sitio web. IPv6 é unha terceira cuestión, xa que unha conexión IPv6 non desexada non é automaticamente unha fuga de DNS.

Converte o resultado nunha investigación

Anota a política prevista e o axuste de DNS seguro do navegador antes de probar. Executa a proba co túnel activo, anota cada resolutor que mencione e compara o conxunto coa política, non cun único enderezo esperado.

Repite tras unha reconexión se é entón cando aparece o síntoma, porque unha política aplicada ao conectar pode perderse despois. Usa a documentación do cliente para as excepcións internas de DNS en lugar de adiviñar os axustes.

Corrixe a discrepancia que atopases: unha elección do navegador, un axuste de DNS da VPN ou unha regra de DNS dividido. Se as consultas deben parar cando falla o túnel, o kill switch é un axuste aparte, e a configuración de DNS soa non o proporcionará. A especificación RFC 8484 é útil cando necesitas explicar que oculta e que non oculta un resolutor cifrado.