DNS გაჟონვის ტესტი: რეზოლვერის სახელი გზა არ არის

სამი განლაგება ითვლება სწორ DNS-ად VPN მომხმარებლისთვის: მოთხოვნები ოპერატორის რეზოლვერზე, მოთხოვნები თქვენ მიერ არჩეულ დაშიფრულ რეზოლვერზე და split DNS, რომელიც სამუშაო სახელებს ორგანიზაციას უგზავნის. გაჟონვის ტესტი აცხადებს ერთ რეზოლვერს და ეს ერთი ეტიკეტი ვერ გეტყვით, რომელი განლაგება გაქვთ სინამდვილეში. ჯერ გადაწყვიტეთ განზრახული პოლიტიკა, შემდეგ შეამოწმეთ მის მიმართ. თუ არა, რიცხვს გრძნობას ადარებთ.

გადაწყვიტეთ, რა გინდოდათ, სანამ შედეგს წაიკითხავთ

ჩამოაყალიბეთ პოლიტიკა ერთ წინადადებაში: ყველა სახელი VPN-ის რეზოლვერზე, ყველა სახელი არჩეულ დაშიფრულ რეზოლვერზე, ან split DNS, სადაც შიდა სახელები ორგანიზაციაში მიდის. თითოეული დასაცავია სხვადასხვა მომხმარებლისთვის და თითოეული სხვა მოსალოდნელ პასუხს იძლევა. ამ წინადადების გარეშე ნებისმიერი შედეგი, რომელიც ფორუმის პოსტში ეკრანის სურათისგან განსხვავდება, შემაშფოთებლად გამოიყურება. ჩაწერეთ პოლიტიკა პირველ ტესტამდე.

ტესტი, რომელიც პოლიტიკის განსაზღვრამდე ჩატარდა, არაფერს ზომავს. ის იძლევა რეზოლვერის სახელს ყოველგვარი საცნობარო წერტილის გარეშე.

რეზოლვერის სახელი არც გზას ამტკიცებს და არც მიმღებს

ორი კითხვაა მნიშვნელოვანი: ვინ მიიღო მოთხოვნა და რომელმა გზამ გადაიტანა. მესამე მხარის რეზოლვერზე წვდომა გვირაბის გავლით შესაძლებელია, მაშინ როცა პარამეტრების ეკრანი პროვაიდერის მისამართს აჩვენებს. გაჟონვის ტესტის გვერდზე ეტიკეტი დამკვირვებლის ხედვას აღწერს და არა თქვენს მარშრუტიზაციის ცხრილს.

ბრაუზერს შეუძლია საკუთარი დაშიფრული DNS გამოიყენოს, სანამ საიტის ტრაფიკი გვირაბში გადის, ხოლო ქეშირებული პასუხები გვერდის ჩატვირთვას ახალი მოთხოვნის გარეშე იძლევა. ამიტომ საჯარო IP-ის შედეგი DNS-ზე არაფერს ამბობს. DoH და DoT იცავენ მოთხოვნას რეზოლვერამდე მიმავალ გზაზე და ეს რეზოლვერი მაინც ხედავს სახელებს.

resolvectl status
resolvectl query example.com
dig +short example.com

split DNS მრავალ რეზოლვერს სწორს ხდის

ორგანიზაციამ შეიძლება შიდა სახელები საკუთარ DNS-ზე გაგზავნოს, დანარჩენი კი სხვაგან. ამიტომ რამდენიმე რეზოლვერის ჩამომთვლელი ტესტი შეიძლება განზრახულ პოლიტიკას აღწერდეს და არა ხარვეზს. სანამ რამეს გამორთავთ, შეადარეთ დაკვირვებული ნაკრები დოკუმენტირებულ split DNS წესებს. შიდა რეზოლვერის გამორთვა იმისთვის, რომ ტესტის გვერდი უფრო სუფთად გამოიყურებოდეს, კერძო სახელებს ამტვრევს.

split tunneling და split DNS სხვადასხვა არჩევანია: ერთი პაკეტებს გზას უჩვენებს, მეორე კითხვებს. გვირაბის გზის შეცვლა სახელის მოთხოვნას არ გადაადგილებს, რეზოლვერის შეცვლა კი ვებსაიტის გზას არ ასწორებს. IPv6 მესამე კითხვაა, რადგან გაუზრახავი IPv6 კავშირი ავტომატურად DNS გაჟონვა არ არის.

შედეგი გამოძიებად აქციეთ

ტესტამდე ჩაწერეთ განზრახული პოლიტიკა და ბრაუზერის უსაფრთხო DNS პარამეტრი. ჩაატარეთ ტესტი აქტიური გვირაბით, ჩაწერეთ ყველა რეზოლვერი, რომელსაც ის ასახელებს, და შეადარეთ ნაკრები პოლიტიკას და არა ერთ მოსალოდნელ მისამართს.

გაიმეორეთ ხელახალი დაკავშირების შემდეგ, თუ სიმპტომი მაშინ ჩნდება, რადგან დაკავშირებისას გამოყენებული პოლიტიკა მოგვიანებით შეიძლება დაიკარგოს. შიდა DNS გამონაკლისებისთვის გამოიყენეთ კლიენტის დოკუმენტაცია და ნუ გამოიცნობთ პარამეტრებს.

გაასწორეთ ნაპოვნი შეუსაბამობა: ბრაუზერის არჩევანი, VPN-ის DNS პარამეტრი ან split DNS წესი. თუ მოთხოვნები გვირაბის ჩავარდნისას უნდა შეჩერდეს, kill switch ცალკე პარამეტრია და მხოლოდ DNS კონფიგურაცია მას არ მოგცემთ. RFC 8484-ის სპეციფიკაცია სასარგებლოა, როცა უნდა ახსნათ, რას მალავს დაშიფრული რეზოლვერი და რას არა.