DNS-szivárgási teszt: a feloldó neve nem az útvonal

Három elrendezés számít helyes DNS-nek egy VPN-felhasználó számára: a szolgáltató feloldójához intézett lekérdezések, az Ön által választott titkosított feloldóhoz intézett lekérdezések, és a split DNS, amely a munka neveit a szervezethez küldi. Egy szivárgási teszt egy feloldót jelent, és ez az egyetlen címke nem mondja meg, melyik elrendezése van valójában. Először döntse el a szándékolt szabályt, aztán teszteljen ahhoz képest. Különben egy számot hasonlít egy érzéshez.

Döntse el, mit akart, mielőtt elolvassa az eredményt

Nevezze meg a szabályt egy mondatban: minden név a VPN feloldójához, minden név egy kiválasztott titkosított feloldóhoz, vagy split DNS, amelyben a belső nevek a szervezethez mennek. Mindegyik védhető egy másik felhasználó számára, és mindegyik más várt választ ad. E mondat nélkül minden eredmény, amely eltér egy fórumbejegyzés képernyőképétől, riasztónak tűnik. Írja le a szabályt az első teszt előtt.

A szabály meghatározása előtt végzett teszt semmit sem mér. Olyan feloldónevet ad, amelynek nincs semmilyen viszonyítási pontja.

A feloldó neve nem bizonyítja sem az útvonalat, sem a címzettet

Két kérdés számít: ki kapta meg a lekérdezést, és melyik útvonal vitte. Egy harmadik fél feloldója elérhető lehet az alagúton keresztül, miközben a beállítások képernyője a szolgáltató címét mutatja. A szivárgási teszt oldalán lévő címke a megfigyelő nézetét írja le, nem az Ön útválasztási táblázatát.

A böngésző használhatja a saját titkosított DNS-ét, miközben a webhely forgalma az alagúton halad, és a gyorsítótárazott válaszok lehetővé tehetik egy oldal betöltését új lekérdezés nélkül. Ezért a nyilvános IP eredménye semmit sem mond a DNS-ről. A DoH és a DoT védi a lekérdezést a feloldóhoz vezető úton, és az a feloldó továbbra is látja a neveket.

resolvectl status
resolvectl query example.com
dig +short example.com

A split DNS több feloldót tesz helyessé

Egy szervezet a belső neveket a saját DNS-éhez küldheti, minden mást pedig máshová. Ezért egy több feloldót felsoroló teszt a szándékolt szabályt írhatja le, nem hibát. Hasonlítsa össze a megfigyelt halmazt a dokumentált split DNS-szabályokkal, mielőtt bármit kikapcsol. A belső feloldó kikapcsolása, hogy a tesztoldal tisztábbnak tűnjön, elrontja a privát neveket.

A split tunneling és a split DNS különböző döntések: az egyik csomagokat irányít, a másik kérdéseket. Az alagút útvonalának módosítása nem mozdít el egy névkeresést, és a feloldó cseréje nem javítja egy webhely útvonalát. Az IPv6 harmadik kérdés, mert egy nem szándékolt IPv6-kapcsolat nem automatikusan DNS-szivárgás.

Alakítsa az eredményt vizsgálattá

A tesztelés előtt jegyezze fel a szándékolt szabályt és a böngésző biztonságos DNS-beállítását. Futtassa a tesztet aktív alagúttal, jegyezzen fel minden említett feloldót, és hasonlítsa össze a halmazt a szabállyal, nem egyetlen várt címmel.

Ismételje meg újracsatlakozás után, ha a tünet akkor jelentkezik, mert a csatlakozáskor alkalmazott szabály később elveszhet. A belső DNS-kivételekhez használja az ügyfél dokumentációját, ahelyett hogy a beállításokat találgatná.

Javítsa a talált eltérést: böngészőválasztás, VPN DNS-beállítás vagy split DNS-szabály. Ha a lekérdezéseknek le kell állniuk, amikor az alagút meghibásodik, a kill switch külön beállítás, és a DNS-konfiguráció önmagában nem biztosítja. Az RFC 8484 specifikáció hasznos, amikor el kell magyaráznia, mit rejt el egy titkosított feloldó és mit nem.