בדיקת דליפת DNS: שם המפענח אינו המסלול

שלושה סידורים נחשבים DNS תקין למשתמש VPN: שאילתות למפענח של המפעיל, שאילתות למפענח מוצפן שבחרתם בעצמכם, ו-split DNS ששולח שמות עבודה לארגון. בדיקת דליפה מדווחת על מפענח אחד, ותגית אחת כזו אינה יכולה לומר איזה סידור באמת יש לכם. החליטו קודם על המדיניות המיועדת, ואז בדקו מולה. אחרת אתם משווים מספר לתחושה.

החליטו מה רציתם לפני שאתם קוראים את התוצאה

נסחו את המדיניות במשפט אחד: כל השמות למפענח ה-VPN, כל השמות למפענח מוצפן נבחר, או split DNS שבו שמות פנימיים הולכים לארגון. כל אחת מוצדקת למשתמש אחר, וכל אחת מפיקה תשובה צפויה אחרת. בלי המשפט הזה, כל תוצאה ששונה מצילום מסך בפוסט בפורום נראית מדאיגה. כתבו את המדיניות לפני הבדיקה הראשונה.

בדיקה שנעשית לפני שהמדיניות מוגדרת אינה מודדת דבר. היא מפיקה שם מפענח בלי שום נקודת ייחוס.

שם מפענח אינו מוכיח לא את המסלול ולא את הנמען

שתי שאלות חשובות: מי קיבל את השאילתה, ואיזה מסלול נשא אותה. אפשר להגיע למפענח של צד שלישי דרך המנהרה בזמן שמסך ההגדרות מציג את כתובת הספק. התגית בעמוד בדיקת דליפה מתארת את נקודת המבט של הצופה, לא את טבלת הניתוב שלכם.

דפדפן יכול להשתמש ב-DNS מוצפן משלו בזמן שתעבורת האתר עוברת במנהרה, ותשובות שמורות במטמון יכולות לאפשר טעינת עמוד בלי חיפוש חדש. לכן תוצאת IP ציבורי אינה אומרת דבר על DNS. ‏DoH ו-DoT מגנים על השאילתה בדרך אל המפענח, ואותו מפענח עדיין רואה את השמות.

resolvectl status
resolvectl query example.com
dig +short example.com

split DNS הופך כמה מפענחים לנכונים

ארגון עשוי לשלוח שמות פנימיים ל-DNS שלו וכל השאר למקום אחר. לכן בדיקה שמפרטת כמה מפענחים עשויה לתאר את המדיניות המיועדת ולא תקלה. השוו את הקבוצה שנצפתה לכללי split DNS המתועדים לפני שאתם מכבים משהו. כיבוי המפענח הפנימי כדי שעמוד בדיקה ייראה נקי יותר שובר שמות פרטיים.

split tunneling ו-split DNS הם בחירות שונות: האחד מנתב חבילות, האחר מנתב שאלות. שינוי מסלול מנהרה אינו מזיז חיפוש שם, ושינוי המפענח אינו מתקן מסלול של אתר. IPv6 הוא שאלה שלישית, מפני שחיבור IPv6 לא מכוון אינו דליפת DNS באופן אוטומטי.

הפכו את התוצאה לחקירה

רשמו את המדיניות המיועדת ואת הגדרת ה-DNS המאובטח של הדפדפן לפני הבדיקה. הריצו את הבדיקה כשהמנהרה פעילה, רשמו כל מפענח שהיא מזכירה, והשוו את הקבוצה למדיניות ולא לכתובת צפויה אחת.

חזרו על הבדיקה אחרי התחברות מחדש אם אז מופיע התסמין, מפני שמדיניות שמוחלת בעת החיבור עלולה ללכת לאיבוד אחר כך. השתמשו בתיעוד של הלקוח לחריגי DNS פנימיים במקום לנחש את ההגדרות.

תקנו את אי-ההתאמה שמצאתם: בחירת דפדפן, הגדרת DNS ב-VPN או כלל split DNS. אם השאילתות חייבות לעצור כשהמנהרה נכשלת, מתג ההרג הוא הגדרה נפרדת, ותצורת DNS לבדה לא תספק אותו. מפרט RFC 8484 שימושי כשצריך להסביר מה מפענח מוצפן מסתיר ומה אינו מסתיר.