DNS ағып кету тесті: шешуші атауы — маршрут емес

Шешуші атауы DNS туннельді айналып өткенін айта алмайды. Қалаған саясатты шешіп, одан кейін алушыны, маршрутты және ерекшеліктерді салыстырыңыз.

VPN пайдаланушысы үшін дұрыс DNS деп үш құрылым саналады: оператор шешушісіне сұраныстар, өзіңіз таңдаған шифрланған шешушіге сұраныстар және жұмыс атауларын ұйымға жіберетін split DNS. Ағып кету тесті бір шешушіні хабарлайды және сол бір белгі нақты қай құрылым бар екенін айта алмайды. Алдымен көзделген саясатты шешіп, содан кейін соған қарсы тексеріңіз. Әйтпесе санды сезіммен салыстырасыз.

Нәтижені оқымас бұрын не қалағаныңызды шешіңіз

Саясатты бір сөйлеммен атаңыз: барлық атаулар VPN шешушісіне, барлық атаулар таңдалған шифрланған шешушіге, немесе ішкі атаулар ұйымға баратын split DNS. Әрқайсысы әр пайдаланушы үшін қорғауға болады және әрқайсысы басқа күтілетін жауап береді. Сол сөйлемсіз форум хабарламасындағы скриншоттан өзгеше кез келген нәтиже алаңдатарлық көрінеді. Саясатты бірінші тестке дейін жазып қойыңыз.

Саясат анықталмай тұрып жасалған тест ештеңе өлшемейді. Ол ешқандай салыстыру нүктесі жоқ шешуші атауын береді.

Шешуші атауы маршрутты да, алушыны да дәлелдемейді

Екі сұрақ маңызды: сұранысты кім алды және оны қай маршрут тасыды. Үшінші тарап шешушісіне туннель арқылы жетуге болады, ал параметрлер экраны провайдер мекенжайын көрсетіп тұрады. Ағып кету тесті бетіндегі белгі бақылаушының көрінісін сипаттайды, сіздің маршруттау кестеңізді емес.

Браузер сайт трафигі туннель арқылы өтіп жатқанда өзінің шифрланған DNS пайдалана алады, ал кэштелген жауаптар бетті жаңа сұраныссыз жүктеуге мүмкіндік береді. Сондықтан ашық IP нәтижесі DNS туралы ештеңе айтпайды. DoH және DoT сұранысты шешушіге дейінгі жолда қорғайды, ал сол шешуші атауларды бәрібір көреді.

resolvectl status
resolvectl query example.com
dig +short example.com

split DNS бірнеше шешушіні дұрыс етеді

Ұйым ішкі атауларды өз DNS-іне, қалғанын басқа жерге жіберуі мүмкін. Сондықтан бірнеше шешушіні тізіп беретін тест ақауды емес, көзделген саясатты сипаттауы мүмкін. Бірдеңені өшірмес бұрын байқалған жиынтықты құжатталған split DNS ережелерімен салыстырыңыз. Тест беті тазарақ көрінуі үшін ішкі шешушіні өшіру жеке атауларды бұзады.

split tunneling мен split DNS — бөлек таңдаулар: біреуі пакеттерді, екіншісі сұрақтарды маршруттайды. Туннель маршрутын өзгерту атау сұранысын жылжытпайды, ал шешушіні өзгерту сайт жолын түзетпейді. IPv6 — үшінші сұрақ, өйткені көзделмеген IPv6 қосылымы автоматты түрде DNS ағып кетуі емес.

Нәтижені тергеуге айналдырыңыз

Тестке дейін көзделген саясатты және браузердің қауіпсіз DNS параметрін жазып алыңыз. Туннель белсенді кезде тестті орындап, ол атайтын әр шешушіні тіркеп, жиынтықты бір күтілетін мекенжаймен емес, саясатпен салыстырыңыз.

Симптом сол кезде пайда болса, қайта қосылғаннан кейін қайталаңыз, өйткені қосылу кезінде қолданылған саясат кейін жоғалуы мүмкін. Ішкі DNS ерекшеліктері үшін параметрлерді болжамай, клиент құжаттамасын пайдаланыңыз.

Тапқан сәйкессіздікті түзетіңіз: браузер таңдауы, VPN DNS параметрі немесе split DNS ережесі. Туннель істен шыққанда сұраныстар тоқтауы керек болса, kill switch — бөлек параметр және тек DNS конфигурациясы оны бермейді. RFC 8484 спецификациясы шифрланған шешушінің нені жасыратынын және нені жасырмайтынын түсіндіру қажет болғанда пайдалы.

Қатысты мақалалар