Menguji DNS terpisah tanpa membocorkan nama internal

Menanyakan nama internal ke resolver publik membocorkan nama itu dan melewati aturan yang ingin Anda uji. Kueri mencapai server yang tidak Anda kendalikan, jawabannya datang dari ruang nama yang seharusnya tidak pernah melihatnya, dan hasilnya tidak mengatakan apa pun tentang apakah DNS terpisah berfungsi. Menguji DNS terpisah berarti menguji jalur resolver yang benar-benar dipakai aplikasi. Jalur itu dipilih oleh sistem operasi, oleh daftar domain di profil VPN, dan kadang oleh peramban.

Pilih dua nama dan prediksi kedua jawabannya lebih dulu

Minta satu nama uji internal yang terdokumentasi dari pemilik jaringan, dan pilih nama publik biasa yang tidak mengatakan apa pun tentang organisasi. Tuliskan apa yang seharusnya terjadi untuk masing-masing sebelum menjalankan apa pun: nama internal seharusnya mencapai resolver tunnel dan mengembalikan alamat internal, sedangkan nama publik seharusnya diselesaikan melalui resolver yang biasa dipakai sistem. Kedua prediksi itu adalah ujinya, karena tanpanya jawaban apa pun bisa dibenarkan setelah kejadian. Pertahankan pasangan itu tetap sama antar-percobaan agar perbandingan nanti bermakna.

Periksa aturan yang berlaku, bukan yang dimaksudkan. Daftar domain yang terlampir pada koneksi VPN menentukan sufiks mana menuju resolver mana, dan salah ketik dalam daftar itu menghasilkan pemisahan yang masuk akal tetapi salah. Pada perangkat terkelola, gunakan jalur diagnostik administrator, karena penimpaan lokal bisa direset oleh kebijakan pada pemeriksaan berikutnya.

Catat prediksi di samping jawaban yang diamati di tiket yang sama. Uji tanpa prediksi tidak bisa gagal, dan uji yang tidak bisa gagal tidak mengajarkan apa pun.

Uji jalur yang dipakai aplikasi, bukan satu server yang Anda pilih

Perintah yang menyebut resolver secara eksplisit menguji resolver itu saja dan tidak yang lain. Perintah itu memberi tahu apakah server internal menjawab, yang berguna, dan tidak memberi tahu apakah aplikasi mengirim nama ke sana. Uji dulu melalui jalur normal: selesaikan nama internal seperti yang akan dilakukan aplikasi, lalu selesaikan nama publik dengan cara yang sama. Setelah itu baru tanyakan server tertentu untuk menemukan di mana perilakunya berbeda.

Peramban mempersulit gambaran, karena pengaturan DNS aman bisa melewati resolver sistem sepenuhnya. Peramban yang dikonfigurasi dengan resolver terenkripsi sendiri tidak pernah melihat pemisahan itu, dan kegagalannya tampak seperti profil VPN rusak. Periksa pengaturan itu sebelum mengubah tunnel.

Ulangi pencarian setelah menyambung ulang jika pertanyaannya adalah pemulihan. Jawaban yang di-cache dari sebelum menyambung ulang bisa membuat pemisahan yang pulih dengan benar tampak lebih baik atau lebih buruk daripada sebenarnya.

Catat kategori jawaban, bukan hanya berhasil atau gagal

Tuliskan mana dari empat hal yang terjadi: alamat internal, alamat publik, jawaban negatif, atau waktu habis. Masing-masing punya arti berbeda. Alamat internal untuk nama internal adalah keberhasilan yang diharapkan; alamat publik untuk nama internal menunjukkan kueri keluar dari tunnel; jawaban negatif dari server otoritatif menunjuk catatan yang hilang, bukan kesalahan perutean; dan waktu habis menunjukkan masalah keterjangkauan atau resolver yang tidak pernah menerima kueri. Berhasil dan gagal terlalu kasar untuk ditindaklanjuti.

Pertimbangkan cache sebelum menafsirkan kueri segar yang hilang, karena jawaban negatif di cache tampak identik dengan nama yang tidak ada. Rekam jawabannya sebelum membersihkan apa pun lewat kendali yang didukung, karena jawaban pertama adalah buktinya.

Tafsirkan kedua cabang tanpa menebak

Jika nama internal diselesaikan dengan benar dan aplikasi tetap gagal, resolver sudah menjalankan tugasnya dan tersangka berikutnya adalah rute dan izin pada sumber daya itu sendiri. Jika nama privat mencapai resolver publik, aturan pemisahan tidak diterapkan pada pencarian itu, jadi tinjau daftar domain dan kebijakan peramban apa pun bersama pemilik ruang nama. Kedua cabang itu punya pemilik berbeda, karena itu mencatat cabang mana yang Anda lihat lebih penting daripada mencatat bahwa ada yang rusak.

Sembunyikan data sensitif pada keluaran bersama sambil mempertahankan strukturnya: ruang nama mana, aturan mana, kategori jawaban mana. Jawaban resolver bisa membawa alamat internal dan nama host, dan tiket adalah rumah yang tahan lama untuk keduanya.

Lalu serahkan hasilnya kepada pemilik ruang nama dengan dua kategori yang Anda amati dan nama-nama yang sudah dihapus. Itu percakapan lima menit alih-alih sepekan spekulasi.