Split-DNS-upptaka: segið hvar hver athugun var tekin

Tveir einstaklingar fást við sama Split-DNS-vandamálið og fá mismunandi resolver-vistföng. Einn notaði uppflettitól, annar tók upp pakka á millistykkinu og þriðji las greiningargögn biðlarans sjálfs. Enginn þeirra lýgur, og enginn lýsir sama stigi. Að nefna athugunarpunktinn breytir mótsögn í kort.

Ein uppfletting, nokkrir athugunarpunktar

Fyrir eitt innra heiti eru að minnsta kosti fimm staðir til að skoða: forritið og resolver-API-ið sem það kallar á, gildandi léna-stefna á biðlaranum, upptaka á millistykki eða síu, stýrð hliðarmörk og resolverinn sem tekur raunverulega við fyrirspurninni.

Hver þeirra svarar annarri spurningu, og ekkert eitt sannar hvert fyrirspurnin fór.

Upptaka á millistykkinu sýnir pakka, ekki ásetning. Hún segir ekki hvaða resolver biðlarinn valdi, og tóm upptaka getur þýtt svars í skyndiminni eða annað resolver-API frekar en pakka sem var hent. Lítið á hverja athugun sem sönnun um eitt stig. Setjið síðan stigin saman í leið.

Sía biðlarans situr milli forrits og vírs

VPN-biðlari með Split-DNS beitir léna-samsvörun áður en pakkinn yfirgefur vélina. Heiti í gönguviðskeytinu fara til innra resolverins; allt annað fer til þess staðbundna. Sían er stefna, og stefna getur verið mismunandi eftir kerfum og biðlaraútgáfu.

Split-DNS-leiðbeiningar Secure Client frá Cisco ná yfir léna-samsvörun og Windows-síuna, og þær aðskilja það sem forrit sér þegar það notar innfædda resolver-API-ið frá því sem tól eins og nslookup sér. Þessi greinarmunur er málið.

Byrjið á gildandi prófílnum og einni venjulegri forritsuppflettingu. Sérhver prófun sem nefnir ákveðinn þjónn er viljandi krókstígur; útskýrið hana með greiningargögnum biðlarans sjálfs, og látið hana ekki verða samþykkisskilyrði.

nslookup fer aðra leið en forritið

nslookup byggir eigin DNS-fyrirspurn og getur farið fram hjá resolver-stefnu stýrikerfisins. Það gerir það að gagnlegu tóli til að spyrja ákveðinn þjón ákveðinnar spurningar, og villandi tóli til að prófa hvað forrit muni upplifa.

Í Windows ákveður stefnutöflu heitaupplausnar hvaða viðskeyti notar hvaða þjón. Að lesa hana sýnir stefnuna sem forritið mun fylgja, og það er oft það sem vantar.

Lesið stefnuna og spyrjið síðan sömu spurningar í gegnum venjulega resolverinn:

Get-DnsClientNrptPolicy
Resolve-DnsName intranet.hq.example

Dulkóðaðir resolverar fela fyrirspurnina, ekki tenginguna

Vafri með sinn eigin DNS-over-HTTPS-resolver er allt annað tilvik. Fyrirspurnin fer út inni í TLS, svo pakkaupptaka sýnir tengingu við resolver-vistfang en ekki heitið sem spurt er um.

Finndu fyrst stýrða stefnu vafrans og berið hana síðan saman við uppflettingu stýrikerfisins. Vafri sem má velja sinn eigin resolver sér kannski aldrei Split-DNS-stefnuna.

Sama varúð á við um hvern þann biðlara sem kemur með sinn eigin resolver. Upptaka sem greinir fjartenginguna er ekki sönnun um nafn fyrirspurnarinnar. Ef þið þurfið nafnið, takið það úr skrám resolversins sjálfs eða úr greiningargögnum forritsins, með þeim persónuverndarreglum sem gilda.

Berjið saman við merkt próf

Veljið samþykkt innra heiti fyrir prófun, auk opinbers heitis sem ber enga viðkvæma merkingu. Fyrir hvert þeirra skráið tímann, skrártegundina, svarið og stefnuna sem þið væntuðu.

Þar sem það er leyft, berið saman móttöku resolversins við eina þrönga athugun biðlarans eða hliðsins:

nslookup intranet.hq.example 10.55.0.53
Get-DnsClientNrptPolicy | Format-List

Sendið aldrei einkanöfn til ótengdra opinberra resolvera bara til að búa til samanburð, og yfirfarið allt sem þið deilið. Að lokum, aðskiljið rétt DNS-svar frá þjónustutengingunni sem kemur á eftir: leysta einkavistfangið þarf enn leið og forritsheimild.