Uji Kebocoran DNS: Nama Resolver Bukan Rute

Tiga susunan dianggap DNS yang benar bagi pengguna VPN: kueri ke resolver operator, kueri ke resolver terenkripsi yang Anda pilih, dan split DNS yang mengirim nama kerja ke organisasi. Uji kebocoran melaporkan satu resolver, dan satu label itu tidak dapat memberi tahu susunan mana yang benar-benar Anda miliki. Tentukan dulu kebijakan yang dimaksud, lalu uji terhadapnya. Jika tidak, Anda membandingkan angka dengan perasaan.

Tentukan Apa yang Anda Inginkan Sebelum Membaca Hasilnya

Sebutkan kebijakan dalam satu kalimat: semua nama ke resolver VPN, semua nama ke resolver terenkripsi pilihan, atau split DNS dengan nama internal menuju organisasi. Masing-masing dapat dipertahankan untuk pengguna yang berbeda, dan masing-masing menghasilkan jawaban yang diharapkan berbeda. Tanpa kalimat itu, hasil apa pun yang berbeda dari tangkapan layar di unggahan forum tampak mengkhawatirkan. Tuliskan kebijakan itu sebelum uji pertama.

Uji yang dilakukan sebelum kebijakan ditetapkan tidak mengukur apa pun. Uji itu menghasilkan nama resolver tanpa titik acuan.

Nama Resolver Tidak Membuktikan Jalur maupun Penerima

Dua pertanyaan penting: siapa yang menerima kueri, dan rute mana yang membawanya. Resolver pihak ketiga dapat dijangkau melalui terowongan sementara layar pengaturan menampilkan alamat penyedia. Label pada halaman uji kebocoran menggambarkan pandangan pengamat, bukan tabel perutean Anda.

Peramban dapat memakai DNS terenkripsinya sendiri sementara lalu lintas situs melewati terowongan, dan jawaban yang di-cache dapat membuat halaman termuat tanpa pencarian baru. Itulah sebabnya hasil IP publik tidak mengatakan apa pun tentang DNS. DoH dan DoT melindungi kueri selama perjalanan ke resolver, dan resolver itu tetap melihat namanya.

resolvectl status
resolvectl query example.com
dig +short example.com

Split DNS Membuat Beberapa Resolver Menjadi Benar

Organisasi dapat mengirim nama internal ke DNS-nya sendiri dan sisanya ke tempat lain. Uji yang mencantumkan beberapa resolver karena itu bisa menggambarkan kebijakan yang dimaksud, bukan kesalahan. Bandingkan kumpulan yang teramati dengan aturan split DNS yang terdokumentasi sebelum menonaktifkan apa pun. Mematikan resolver internal agar halaman uji terlihat lebih rapi akan merusak nama privat.

Split tunneling dan split DNS adalah pilihan yang berbeda: yang satu merutekan paket, yang lain merutekan pertanyaan. Mengubah rute terowongan tidak memindahkan pencarian nama, dan mengubah resolver tidak memperbaiki jalur situs web. IPv6 adalah pertanyaan ketiga, karena koneksi IPv6 yang tidak diinginkan tidak otomatis merupakan kebocoran DNS.

Ubah Hasilnya Menjadi Penyelidikan

Catat kebijakan yang dimaksud dan pengaturan DNS aman peramban sebelum menguji. Jalankan uji dengan terowongan aktif, catat setiap resolver yang disebutnya, dan bandingkan kumpulan itu dengan kebijakan, bukan dengan satu alamat yang diharapkan.

Ulangi setelah menyambung ulang jika gejalanya muncul saat itu, karena kebijakan yang diterapkan saat koneksi bisa hilang kemudian. Gunakan dokumentasi klien untuk pengecualian DNS internal, jangan menebak pengaturannya.

Perbaiki ketidakcocokan yang Anda temukan: pilihan peramban, pengaturan DNS VPN, atau aturan split DNS. Jika kueri harus berhenti saat terowongan gagal, kill switch adalah pengaturan terpisah, dan konfigurasi DNS saja tidak akan menyediakannya. Spesifikasi RFC 8484 berguna saat Anda perlu menjelaskan apa yang disamarkan dan tidak disamarkan oleh resolver terenkripsi.