Ձեր VPN-ը ուղարկում է երեք DNS սերվեր՝ ո՞րն է պատասխանում։
Լրացուցիչ գրառումները կարող են լինել պահեստային տարբերակ, տիրույթի համար առանձին երթուղի կամ ֆիզիկական կապի մնացորդ։ Յուրաքանչյուրը կապեք իր շրջանակին, նախքան ցանկը արտահոսք անվանելը։
Միանալուց հետո բացեք կարգավորումների էջը և կտեսնեք երեք DNS հասցե. աուդիտի հարցն այն է, թե որն է սպասարկել ձեր վերջին հարցումը։ Միայն թիվը ոչնչի չի պատասխանում, քանի որ հաճախորդի ուղարկումը, ֆիզիկական միջերեսը և տիրույթի համար առանձին քաղաքականությունը բոլորը գրում են նույն տեսքի մեջ։ Այս գրառումները տարբեր շրջանակներ ունեն, և պատասխանողին որոշում է շրջանակը, ոչ թե դիրքը։ Սկսեք աղբյուրների բաժանումից, ապա փորձարկեք այն աղբյուրը, որին պատկանում է ձեզ համար կարևոր անունը։
Ինչու ցանկը ավելի երկար է, քան ձեր պրոֆիլը
VPN հաճախորդը ուղարկում է լուծիչի հասցեներ թունելի կապի համար, իսկ օպերացիոն համակարգը դրանք պահում է այն ամենի կողքին, ինչ արդեն ուներ ֆիզիկական միջերեսը։ Երթուղիչը, կորպորատիվ DHCP վարձույթը, երկրորդ VPN-ը և տիրույթի համար առանձին քաղաքականությունը յուրաքանչյուրն ավելացնում է իր գրառումը։ Ուստի էջի երեք հասցեն կարող է նշանակել երեք շրջանակ, այլ ոչ թե երեք թեկնածու մեկ աշխատանքի համար։ Թիվը որպես արտահոսքի ապացույց կարդալը այս աուդիտի առաջին սխալն է։
Մեկ միջերեսի ներսում հաճախորդն իսկապես հերթով փորձում է իր սերվերները, ուստի դասավորված ցանկն անիմաստ չէ։ Այն, ինչ հերթ չէ, միավորված տեսքն է, որտեղ պրոֆիլի, ֆիզիկական կապի և տիրույթի կանոնների գրառումները կողք կողքի են առանց մեկ միասնական դասակարգման։ Այդ տարբերությունն է որոշում, թե ինչ եք փորձարկում. հերթականությունը բացատրում է վարքը մեկ շրջանակի ներսում, իսկ շրջանակը՝ մնացած ամեն ինչ։
Կոդավորված DNS-ը պատկերը կոտրում է հավելվածի ներսից։ Իր սեփական DNS-over-HTTPS լուծիչով զննարկիչը կամ չաթի հաճախորդը հարցումները ուղարկում է ամբողջությամբ շրջանցելով օպերացիոն համակարգի ցանկը, ուստի կարգավորումների էջի հասցեները նկարագրում են թրաֆիկ, որը հավելվածը երբեք չի ստեղծել։ Ստուգեք հավելվածի սեփական լուծիչի կարգավորումը, նախքան պրոֆիլին մեղադրելը սխալ ստացված անվան համար։
Ինչ է ասում երեք ստուգումներից յուրաքանչյուրը
Յուրաքանչյուր աղբյուր իր հետքը թողնում է տարբեր տեղում, և ոչ մի հրաման չի ցույց տալիս բոլորը։ Սա այն քարտեզագրումն է, որն արժե պահել կարգավորումների էջի կողքին:
| Entry source | Where it is visible | What it proves |
|---|---|---|
| Tunnel profile | Link-scoped DNS on the tunnel device | Which servers the VPN asked you to use, not which one answered |
| Per-domain policy | Suffix list or routing domains | Which names are steered to a particular resolver |
| Physical link | DNS on the LAN interface | Whether a second scope still exists outside the tunnel |
| Application resolver | App settings, absent from the OS list | Whether the system list was consulted at all |
Օգտագործելով systemd-resolved համակարգում resolvectl status-ը հեղինակավոր է, քանի որ այն հաղորդում է DNS-ը յուրաքանչյուր կապի համար՝ երթուղային տիրույթների հետ միասին։ macOS-ը պատասխանում է scutil --dns-ի միջոցով, որը թվարկում է շրջանակային լուծիչները փորձարկման հերթականությամբ։ Windows-ը բաժանում է երկու կեսի՝ Get-DnsClientServerAddress՝ յուրաքանչյուր միջերեսի սերվերների համար և Get-DnsClientNrptPolicy՝ վերջածանցի կանոնների համար։ Գործարկեք այն հրամանը, որը պատկանում է փաստացի օգտագործվող լուծիչին, քանի որ կոնտեյներային միջավայր և աշխատասեղանային լուծիչ ունեցող մեքենայում կարող է տեղադրված լինել մեկից ավելի։
Պահեստային լուծիչ, որը չի կարող պատասխանել ձեր գոտուն
Երկրորդ գրառումը սովորաբար այնտեղ է հասանելիության համար, և հասանելիությունը աշխատում է միայն այն դեպքում, երբ պահուստը գիտի անունները։ Հարցրեք հանրային լուծիչին ներքին հոսթի անուն, և այն վերադարձնում է NXDOMAIN կամ նիշքի փոխարինիչի պատասխան որոնման տիրույթից, որը որևէ կապ չունի ձեզ հետ։ Այնուհետև ոչ ոքի կողմից չստուգված պահուստային անցումը ստեղծում է ընդհատում հենց այն պահին, երբ այն անհրաժեշտ է։
Split DNS-ը գոյություն ունի դա կանխելու համար՝ ընկերության վերջածանցները գնում են տիրույթը պահող լուծիչին, իսկ հանրային անունները մնում են լռելյայն ուղու վրա։ Դիզայնը հիմնավոր է, և այն կախված է վերջածանցների ցանկի ամբողջականությունից։ Microsoft-ը փաստաթղթավորում է յուրաքանչյուր վերջածանցի լուծիչի քաղաքականությունը, որը ղեկավարում է դա Windows-ում, և նույն գաղափարը հայտնվում է որպես երթուղային տիրույթներ systemd-resolved-ում և որպես շրջանակային լուծիչներ macOS-ում։
Համեմատեք այն տիրույթները, որոնց պահուստը կարող է պատասխանել, քաղաքականության մեջ առկա վերջածանցների հետ։ Այդ համեմատությունը գտնում է բացը նախքան օգտատերը կհաղորդի, որ մեկ ներքին կայք դադարել է լուծվել թունելի փոփոխությունից հետո։
Հարցրեք քաղաքականության միջով, ոչ թե դրա շուրջը
Հարցրեք օպերացիոն համակարգի լուծիչի միջոցով, քանի որ սերվերին ուղղակի հարցումը շրջանցում է քաղաքականությունը և հաղորդում է միայն այն, ինչ այդ սերվերը կասեր։ Երկու պատասխանների միջև եղած բացն է ամբողջ խնդիրը:
resolvectl query intranet.example.com
dig +short intranet.example.com @198.51.100.53Եթե համակարգի հարցումը վերադարձնում է մասնավոր հասցե, մինչ ուղղակի հարցումը վերադարձնում է NXDOMAIN, ապա քաղաքականությունը աշխատում է և պահուստն է թույլ կետը։ Եթե երկուսն էլ վերադարձնում են նույն հանրային պատասխանը, անունը լուծվում է ձեր նախատեսած շրջանակից դուրս, և վերջածանցների ցանկն է այն տեղը, որտեղ պետք է նայել։ Պահեք երկու ելքերը, քանի որ լուծիչի վեճը երկու տողով ավելի արագ է լուծվում, քան կարգավորումների էջի սքրինշոթով։
Այնուհետև վարժեք ձախողման ուղին, քանի որ ոչ ոքի կողմից չփորձարկված պահուստը ենթադրություն է։ Մեկ հարցման համար նախընտրելի լուծիչը դարձրեք սև խոռոչ և դիտեք, թե որ հասցեն է վերադառնում:
ip route add blackhole 198.51.100.53/32
resolvectl query intranet.example.com
ip route del blackhole 198.51.100.53/32Ջնջեք այդ երթուղին հարցման ավարտին պես, այլապես հաջորդ մարդը ժառանգում է մի առեղծված։ Եթե այդ պատուհանում ներքին անունները դեռ լուծվում են, ապա նախատեսված շրջանակից դուրս ինչ-որ բան պատասխանել է դրանց։ Եթե փոխարենը ժամկետը լրանում է, պահուստը բացակայում է կամ ճիշտ սահմանափակված է, և լուծիչի սեփական մատյանն ասում է, թե երկուսից որն էր։
Որոշեք՝ պահել, սահմանափակել թե հեռացնել
Պահեք երկրորդ լուծիչ, երբ այն պատասխանում է ձեզ անհրաժեշտ անվանատարածքին և մատչելի է մնում պրոֆիլի ներքո։ Սահմանափակեք այն շրջանակով, երբ այն պետք է տեսնի միայն մեկ վերջածանց և ուրիշ ոչինչ, և հեռացրեք այն, երբ այն չունի ոչ շրջանակ, ոչ էլ փաստաթղթավորված նպատակ։ Առանց աշխատանքի գրառումը ապագա արտահոսք է առանց օգուտի, և մատակարարի լռելյայն արժեքը նպատակ չէ։
Գրանցեք արդյունքը չորս սյունակով՝ վերջածանց, լուծիչ, միջերես և սեփականատեր։ Այդ տողը պատասխանում է հաջորդ աուդիտի հարցին ավելի արագ, քան ցանկացած սքրինշոթ, և դիմանում է հաճախորդի թարմացմանը, որը լուռ վերադասավորում է ցանկը։