Klofin ganga útilokar vafrann, ekki DNS-fyrirspurnir hans

Vafrinn útilokaður frá göngunni, síða opinberrar IP staðfestir að umferð hans fer út um heimanetstenginguna, og innra wikið opnast samt ekki. Nafnaupplausn fór annað, og það annað er venjulega upplausnin sem VPN stillti. Gagnaleiðin og upplausnarleiðin eru aðskildar ákvarðanir í flestum hönnun klofinna ganga. Athugaðu hvorri vafrinn notaði í raun áður en þú kallar útilokunina bilaða.

Gagnaleiðin og upplausnarleiðin aðskiljast

Útilokun fjarlægir pakka forrits úr göngunni, sem er ákvörðun um leiðsögn og eldvegg á gagnaleiðinni. Nafnaupplausn er önnur leit: ferli spyr upplausn kerfisins, og sú upplausn ákveður hvaða þjónn fær spurninguna.

Bæði geta verið viljandi og ólík. Vinnuuppsetning getur haldið innri nafnrýmum hjá fyrirtækjaupplausninni á meðan hún sendir valið opinbert vafur út fyrir gönguna, einmitt vegna þess að innri nöfn leysast hvergi annars staðar. Ruglingslega tilfellið er hið gagnstæða: opinber vefur mistekst vegna þess að vafrinn spurði aldrei upplausnarinnar sem uppsetningin bjóst við. Skráðu leiðina og upplausnina aðskilið, og helmingur rifrildanna hverfur.

Finndu hvaða ferli spyr spurningarinnar

Vafri getur notað upplausn kerfisins, sína eigin dulkóðuðu DNS-þjónustu, eða upplausn sem stýrikerfið úthlutar fyrir hvert net. Fyrsta fylgir stefnu vettvangsins, önnur fer alveg fram hjá þeirri stefnu, og þriðja fer eftir því hvaða tengingu fyrirspurninni er beint að.

resolvectl status
resolvectl query intranet.example.net
dig +short +time=2 intranet.example.net @10.52.0.2
scutil --dns | head -n 40

Lestu gildandi stillingu áður en þú prófar: hvaða tengingar bera DNS-þjóna, hvaða nafnrými þær gera tilkall til, og hvort stefna per nafn hnekkir sjálfgefnu. Á Linux notar klofin DNS leiðsagnarlén; á Windows gerir stefnutöfluna fyrir nafnaupplausn sama verk fyrir nafnrými. Hvorugt sést á lekaprófunarsíðu.

Ákveddu hvaða upplausn sér hvaða nafn

Skrifaðu fyrirhugaða vörpun áður en þú breytir nokkru: innri nöfn til fyrirtækjaupplausnarinnar, opinber nöfn til þeirrar þjónustu sem stefnan leyfir, og undantekningar með ábyrgðarmanni. Án þess lista verður hvert merki lekaprófunarinnar pólitískt rifrildi sem enginn getur leyst.

Athugaðu svo stillingu vafrans sjálfs, því dulkóðuð DNS í vafra eru beitt áður en stýrikerfið fær fyrirspurnina. Notandi sem kveikti á því til að komast fram hjá handtökugátt hefur hljóðlega hnekkt upplausninni sem uppsetningin valdi. Það er stillingarákvörðun en ekki leki, og hún á skilið ákvörðun frekar en bannlista.

Ekki endurskrifa hvert DNS-svæði til að gera eitt prófunarmerki grænt. Merkið lýsir einni fyrirspurn frá einu ferli á einum tímapunkti.

Staðfestu fyrirspurn og tengingu aðskilið

Prófaðu leiðirnar tvær óháð. Tengingarprófið sýnir gagnaleiðina, og upplausnarprófið sýnir hver fékk nafnið.

curl -sS --max-time 8 https://api.ipify.org
resolvectl query example.net
dig +short example.net

Spurðu upplausnina líka berum orðum, svo hægt sé að rekja mistök til þjónsins en ekki leiðarinnar. Endurræstu svo vafrann og endurtaktu, því forrit skyggja neikvæð svör og gömul mistök virðast viðvarandi.

Eftir samþykkta breytingu skráðu gagnaleiðina og viðtakanda upplausnarinnar sem tvær aðskildar línur með dagsetningunni. Ef hegðunin kemur aftur við næstu endurtengingu er sniðið sem veitir hana það sem þarf að laga, ekki vafrinn.