Az osztott alagút a böngészőt zárja ki, nem a DNS-lekérdezéseit

A böngésző kizárva az alagútból, a nyilvános IP-oldal megerősíti, hogy a forgalma az otthoni kapcsolaton keresztül távozik, és a belső wiki mégsem nyílik meg. A névfeloldás máshova ment, és az a máshol általában az a feloldó, amelyet a VPN beállított. Az adatútvonal és a feloldó útvonala a legtöbb osztott alagút tervezésben külön döntés. Ellenőrizze, melyiket használta a böngésző valójában, mielőtt a kizárást hibásnak nevezi.

Az adatútvonal és a feloldó útvonala elválik

A kizárás eltávolítja egy alkalmazás csomagjait az alagútból, ami útválasztási és tűzfal-döntés az adatútvonalon. A névfeloldás másik keresés: egy folyamat a rendszer feloldóját kérdezi, és az a feloldó dönti el, melyik kiszolgáló kapja a kérdést.

Mindkettő lehet szándékos és különböző. Egy munkahelyi telepítés a belső névtereket a vállalati feloldónál tarthatja, miközben a kiválasztott nyilvános böngészést az alagúton kívülre küldi, éppen azért, mert a belső nevek sehol másutt nem oldódnak fel. A zavaró eset a fordítottja: egy nyilvános oldal azért hibázik, mert a böngésző soha nem kérdezte azt a feloldót, amelyet a telepítés várt. Jegyezze fel az útvonalat és a feloldót külön, és a viták fele eltűnik.

Találja meg, melyik folyamat teszi fel a kérdést

A böngésző használhatja a rendszer feloldóját, a saját titkosított DNS-szolgáltatását, vagy olyan feloldót, amelyet az operációs rendszer hálózatonként kijelöl. Az első a platform szabályzatát követi, a második teljesen megkerüli azt, a harmadik pedig attól függ, melyik kapcsolatra irányul a lekérdezés.

resolvectl status
resolvectl query intranet.example.net
dig +short +time=2 intranet.example.net @10.52.0.2
scutil --dns | head -n 40

A tesztelés előtt olvassa el a hatályos konfigurációt: mely kapcsolatok hordoznak DNS-kiszolgálókat, milyen névtereket igényelnek, és felülírja-e egy névenkénti szabályzat az alapértelmezést. Linuxon az osztott DNS útválasztási tartományokat használ; Windowson a névfeloldási szabályzat táblázata ugyanezt teszi a névterekért. Egyik sem látszik egy szivárgásteszt-oldalról.

Döntse el, melyik feloldó melyik nevet látja

Írja le a szándékolt leképezést, mielőtt bármit módosít: belső nevek a vállalati feloldóhoz, nyilvános nevek ahhoz a szolgáltatáshoz, amelyet a szabályzat enged, és kivételek felelőssel. E lista nélkül a szivárgásteszt minden címkéje olyan szabályzati vitává válik, amelyet senki sem tud lezárni.

Ezután ellenőrizze a böngésző saját beállítását, mert a böngészőben a titkosított DNS azelőtt érvényesül, hogy az operációs rendszer megkapná a lekérdezést. Az a felhasználó, aki azért kapcsolta be, hogy megkerüljön egy captive portált, csendben felülírta a telepítés által választott feloldót. Ez konfigurációs döntés és nem szivárgás, és döntést érdemel, nem tiltólistát.

Ne írja át az összes DNS-mezőt, hogy egy tesztcímke zöldre váltson. A címke egy folyamat egy lekérdezését írja le egy pillanatban.

Ellenőrizze a lekérdezést és a kapcsolatot külön

Tesztelje a két útvonalat egymástól függetlenül. A kapcsolatteszt az adatútvonalat mutatja, a feloldóteszt pedig azt, ki kapta meg a nevet.

curl -sS --max-time 8 https://api.ipify.org
resolvectl query example.net
dig +short example.net

Kérdezze meg a feloldót kifejezetten is, hogy a hiba a kiszolgálónak és ne az útvonalnak legyen betudható. Ezután indítsa újra a böngészőt és ismételje, mert az alkalmazások gyorsítótárazzák a negatív válaszokat, és egy régi hiba tartósnak látszik.

Jóváhagyott változtatás után jegyezze fel az adatútvonalat és a feloldó címzettjét két külön sorban a dátummal. Ha a viselkedés a következő újracsatlakozáskor visszatér, azt a profilt kell javítani, amely szolgáltatja, nem a böngészőt.