DNS लीक जाँच: रिज़ॉल्वर का नाम मार्ग नहीं है

VPN उपयोगकर्ता के लिए तीन व्यवस्थाएँ सही DNS मानी जाती हैं: ऑपरेटर के रिज़ॉल्वर पर क्वेरी, आपके चुने हुए एन्क्रिप्टेड रिज़ॉल्वर पर क्वेरी, और split DNS जो कार्य नाम संगठन को भेजता है। लीक जाँच एक रिज़ॉल्वर की रिपोर्ट करती है, और वह एक लेबल आपको नहीं बता सकता कि वास्तव में कौन-सी व्यवस्था है। पहले इच्छित नीति तय करें, फिर उसके विरुद्ध जाँचें। वरना आप किसी संख्या की तुलना किसी भावना से कर रहे हैं।

परिणाम पढ़ने से पहले तय करें कि आप क्या चाहते थे

नीति को एक वाक्य में नाम दें: सभी नाम VPN रिज़ॉल्वर को, सभी नाम चुने हुए एन्क्रिप्टेड रिज़ॉल्वर को, या split DNS जिसमें आंतरिक नाम संगठन को जाते हैं। हर एक भिन्न उपयोगकर्ता के लिए तर्कसंगत है, और हर एक भिन्न अपेक्षित उत्तर देती है। उस वाक्य के बिना, फ़ोरम पोस्ट के स्क्रीनशॉट से भिन्न कोई भी परिणाम चिंताजनक लगता है। पहली जाँच से पहले नीति लिख लें।

नीति तय होने से पहले की गई जाँच कुछ भी नहीं मापती। वह बिना किसी संदर्भ बिंदु के रिज़ॉल्वर का नाम देती है।

रिज़ॉल्वर का नाम न मार्ग सिद्ध करता है न प्राप्तकर्ता

दो प्रश्न मायने रखते हैं: क्वेरी किसने प्राप्त की, और कौन-से मार्ग ने उसे ले जाया। सेटिंग्स स्क्रीन प्रदाता का पता दिखाती है, फिर भी टनल से तीसरे पक्ष के रिज़ॉल्वर तक पहुँचा जा सकता है। लीक जाँच पृष्ठ का लेबल पर्यवेक्षक का दृष्टिकोण बताता है, आपकी रूटिंग तालिका नहीं।

साइट का ट्रैफ़िक टनल से गुजरते समय भी ब्राउज़र अपना एन्क्रिप्टेड DNS इस्तेमाल कर सकता है, और कैश किए गए उत्तर बिना नई लुकअप के पृष्ठ लोड होने दे सकते हैं। इसीलिए सार्वजनिक IP का परिणाम DNS के बारे में कुछ नहीं कहता। DoH और DoT रिज़ॉल्वर तक के मार्ग में क्वेरी की रक्षा करते हैं, और वह रिज़ॉल्वर अब भी नाम देखता है।

resolvectl status
resolvectl query example.com
dig +short example.com

Split DNS कई रिज़ॉल्वर को सही बनाता है

कोई संगठन आंतरिक नाम अपने DNS पर और बाकी सब कहीं और भेज सकता है। इसलिए कई रिज़ॉल्वर सूचीबद्ध करने वाली जाँच खराबी के बजाय इच्छित नीति का वर्णन कर सकती है। कुछ भी बंद करने से पहले देखे गए समुच्चय की तुलना प्रलेखित split DNS नियमों से करें। जाँच पृष्ठ को साफ़ दिखाने के लिए आंतरिक रिज़ॉल्वर बंद करने से निजी नाम टूट जाते हैं।

Split tunneling और split DNS अलग चुनाव हैं: एक पैकेट का मार्ग तय करता है, दूसरा प्रश्नों का। टनल मार्ग बदलने से नाम की लुकअप नहीं हिलती, और रिज़ॉल्वर बदलने से वेबसाइट का मार्ग ठीक नहीं होता। IPv6 तीसरा प्रश्न है, क्योंकि अनिच्छित IPv6 कनेक्शन अपने आप DNS लीक नहीं है।

परिणाम को जाँच-पड़ताल में बदलें

जाँच से पहले इच्छित नीति और ब्राउज़र की सुरक्षित-DNS सेटिंग लिखें। टनल सक्रिय रखकर जाँच चलाएँ, यह जिन रिज़ॉल्वर का नाम ले उन सबको नोट करें, और समुच्चय की तुलना नीति से करें, किसी एक अपेक्षित पते से नहीं।

अगर लक्षण तभी दिखता है तो दोबारा कनेक्ट होने के बाद दोहराएँ, क्योंकि कनेक्ट के समय लागू नीति बाद में खो सकती है। सेटिंग्स का अनुमान लगाने के बजाय आंतरिक DNS अपवादों के लिए क्लाइंट के दस्तावेज़ इस्तेमाल करें।

जो असंगति मिली उसे ठीक करें: ब्राउज़र का चुनाव, VPN DNS सेटिंग या split DNS नियम। अगर टनल विफल होने पर क्वेरी रुकनी चाहिए, तो kill switch अलग सेटिंग है, और केवल DNS कॉन्फ़िगरेशन उसे नहीं देगा। एन्क्रिप्टेड रिज़ॉल्वर क्या छिपाता है और क्या नहीं, यह समझाने की ज़रूरत हो तो RFC 8484 विनिर्देश उपयोगी है।