내부 이름을 유출하지 않고 분할 DNS 테스트하기

공용 리졸버에 내부 이름을 질의하면 이름이 유출되고 테스트하려던 규칙이 건너뛰어집니다. 질의는 통제하지 않는 서버에 도달하고, 응답은 그 이름을 볼 수 없었던 네임스페이스에서 오며, 결과는 분할 DNS가 작동하는지에 대해 아무것도 말해주지 않습니다. 분할 DNS를 테스트한다는 것은 애플리케이션이 실제로 사용하는 리졸버 경로를 테스트한다는 뜻입니다. 그 경로는 운영체제가 고르고, VPN 프로필의 도메인 목록이 고르며, 때로는 브라우저가 고릅니다.

이름 두 개를 정하고 먼저 두 응답을 예측하십시오

네트워크 소유자에게 문서화된 내부 테스트 이름 하나를 요청하고, 조직에 대해 아무것도 드러내지 않는 평범한 공용 이름을 고르십시오. 무엇이든 실행하기 전에 각각 어떤 일이 일어나야 하는지 적어 두십시오. 내부 이름은 터널의 리졸버에 도달해 내부 주소를 반환해야 하고, 공용 이름은 시스템이 평소 사용하는 리졸버를 통해 해석되어야 합니다. 이 두 예측이 곧 테스트입니다. 그것이 없으면 어떤 응답이든 나중에 합리화할 수 있기 때문입니다. 쌍은 실행마다 고정해 두어 나중 비교가 의미를 갖게 하십시오.

의도한 규칙이 아니라 실제로 적용되는 규칙을 확인하십시오. VPN 연결에 붙은 도메인 목록이 어떤 접미사가 어느 리졸버로 가는지 결정하며, 그 목록의 오타는 그럴듯하지만 잘못된 분할을 만듭니다. 관리되는 기기에서는 관리자의 진단 경로를 사용하십시오. 로컬 재정의는 다음 확인에서 정책에 의해 초기화될 수 있습니다.

예측은 관측한 응답 옆에 같은 티켓에 적으십시오. 예측 없는 테스트는 실패할 수 없고, 실패할 수 없는 테스트는 아무것도 가르치지 않습니다.

애플리케이션이 사용하는 경로를 테스트하고, 직접 고른 서버 하나를 시험하지 마십시오

리졸버를 명시하는 명령은 그 리졸버만 테스트하고 다른 것은 테스트하지 않습니다. 내부 서버가 응답하는지는 알려주지만, 애플리케이션이 이름을 그곳으로 보내는지는 알려주지 않습니다. 먼저 정상 경로로 테스트하십시오. 애플리케이션이 할 방식으로 내부 이름을 해석하고, 그다음 같은 방식으로 공용 이름을 해석하십시오. 그런 다음에야 특정 서버에 질의해 동작이 어디서 갈라지는지 찾으십시오.

브라우저는 그림을 복잡하게 만듭니다. 보안 DNS 설정이 시스템 리졸버를 완전히 우회할 수 있기 때문입니다. 자체 암호화 리졸버로 구성된 브라우저는 분할을 전혀 보지 못하며, 장애는 고장 난 VPN 프로필처럼 보입니다. 터널을 바꾸기 전에 그 설정을 확인하십시오.

복원이 문제라면 다시 연결한 뒤 조회를 반복하십시오. 다시 연결하기 전에 캐시된 응답은 올바르게 복원된 분할을 실제보다 좋거나 나쁘게 보이게 할 수 있습니다.

성공이나 실패만이 아니라 응답 범주를 기록하십시오

네 가지 중 무엇이 일어났는지 적으십시오. 내부 주소, 공용 주소, 부정 응답, 또는 시간 초과이며 각각 의미가 다릅니다. 내부 이름에 대한 내부 주소는 기대한 성공입니다. 내부 이름에 대한 공용 주소는 질의가 터널을 떠났음을 시사합니다. 권한 있는 서버의 부정 응답은 라우팅 결함이 아니라 레코드 누락을 가리키며, 시간 초과는 도달성 문제나 질의를 한 번도 받지 못한 리졸버를 뜻합니다. 성공과 실패만으로는 조치하기에 너무 거칩니다.

새 질의가 없는 이유를 해석하기 전에 캐시에 남은 부정 응답이 존재하지 않는 이름과 똑같이 보인다는 점을 기억하십시오. 지원되는 수단으로 무엇이든 지우기 전에 응답을 기록하십시오. 첫 응답이 증거입니다.

추측하지 않고 두 갈래를 해석하십시오

내부 이름이 올바르게 해석되는데도 애플리케이션이 실패한다면 리졸버는 할 일을 했고, 다음 용의자는 리소스 자체의 경로와 권한입니다. 사설 이름이 공용 리졸버에 도달했다면 그 조회에는 분할 규칙이 적용되지 않은 것이므로, 네임스페이스 소유자와 함께 도메인 목록과 브라우저 정책을 검토하십시오. 이 두 갈래는 소유자가 다릅니다. 그래서 어느 쪽을 보았는지 기록하는 것이 무언가 고장 났다고 기록하는 것보다 중요합니다.

구조는 유지한 채 공유 출력의 민감한 부분을 가리십시오. 어떤 네임스페이스인지, 어떤 규칙인지, 어떤 응답 범주인지. 리졸버 응답은 내부 주소와 호스트 이름을 담을 수 있고, 티켓은 둘 모두의 지속적인 보관처입니다.

그다음 관측한 두 범주와 이름을 제거한 결과를 네임스페이스 소유자에게 넘기십시오. 그것은 일주일의 추측 대신 오 분의 대화입니다.