Сиздин VPN үч DNS серверди жиберет: кайсынысы жооп берет?
Кошумча жазуулар камдык вариант, домен боюнча маршрут же физикалык байланыштын калдыгы болушу мүмкүн. Тизмени агым деп атаардан мурун ар бирин өз аймагына байланыштырыңыз.
Туташкандан кийин жөндөөлөр баракчасын ачыңыз, үч DNS дареги тизмеленет; аудиттин суроосу — алардын кайсынысы акыркы сурооңузду иштеп чыкты. Жалгыз сан эч нерсеге жооп бербейт, анткени кардардын жиберүүсү, физикалык интерфейс жана домен боюнча саясат баары бир көрүнүшкө жазат. Бул жазуулардын аймактары ар башка, ал эми жооп берүүчүнү позиция эмес, аймак чечет. Булактарды бөлүүдөн баштаңыз, анан сизге маанилүү атка ээ болгон булакты текшериңиз.
Тизме эмне үчүн профилиңизден узун
VPN кардары туннель байланышы үчүн чечүүчү даректерди жиберет, ал эми операциялык система аларды физикалык интерфейсте мурунтан бар нерсенин жанында кармайт. Маршрутизатор, корпоративдик DHCP ижарасы, экинчи VPN жана домен боюнча саясат ар бири өз жазуусун кошот. Ошондуктан баракчадагы үч дарек бир ишке үч талапкер эмес, үч аймакты билдириши мүмкүн. Санды агымдын далили деп окуу ушул аудиттин биринчи катасы.
Бир интерфейстин ичинде кардар өз серверлерин чын эле кезек менен сынайт, ошондуктан иреттелген тизме маанисиз эмес. Кезек эмес нерсе — бириктирилген көрүнүш, анда профиль, физикалык байланыш жана домен эрежелеринин жазуулары бир гана реттөөсүз катар турат. Ошол айырма эмнени текшерериңизди чечет: иреттик бир аймактын ичиндеги жүрүм-турумду түшүндүрөт, ал эми аймак калганын түшүндүрөт.
Шифрленген DNS сүрөттү колдонмонун ичинен бузат. Өзүнүн DNS-over-HTTPS чечүүчүсү бар браузер же чат кардары суроолорду операциялык системанын тизмесинен толук айланып өтүп жиберет, ошондуктан жөндөөлөр баракчасындагы даректер колдонмо эч качан жаратпаган трафикти сүрөттөйт. Ат туура эмес чыкканы үчүн профилди күнөөлөөрдөн мурун колдонмонун өзүнүн чечүүчү жөндөөсүн текшериңиз.
Үч текшерүүнүн ар бири эмнени айтат
Ар бир булак өз изин башка жерде калтырат, ал эми бир да буйрук баарын көрсөтпөйт. Бул — жөндөөлөр баракчасынын жанында кармоого татырлык шайкештирүү:
| Entry source | Where it is visible | What it proves |
|---|---|---|
| Tunnel profile | Link-scoped DNS on the tunnel device | Which servers the VPN asked you to use, not which one answered |
| Per-domain policy | Suffix list or routing domains | Which names are steered to a particular resolver |
| Physical link | DNS on the LAN interface | Whether a second scope still exists outside the tunnel |
| Application resolver | App settings, absent from the OS list | Whether the system list was consulted at all |
systemd-resolved колдонгон системада resolvectl status ыйгарым укуктуу, анткени ал DNSти маршруттоо домендери менен бирге ар бир байланыш үчүн билдирет. macOS scutil --dns аркылуу жооп берет, ал аймактуу чечүүчүлөрдү сыноо ирети менен тизмелейт. Windows эки жарымга бөлөт: интерфейс боюнча серверлер үчүн Get-DnsClientServerAddress жана суффикс эрежелери үчүн Get-DnsClientNrptPolicy. Иш жүзүндө колдонулуп жаткан чечүүчүгө таандык буйрукту иштетиңиз, анткени контейнердик аткаруу чөйрөсү жана иш тактанын чечүүчүсү бар машинада бирден көп орнотулган болушу мүмкүн.
Аймагыңызга жооп бере албаган камдык чечүүчү
Экинчи жазуу адатта жеткиликтүүлүк үчүн бар, ал эми жеткиликтүүлүк камдык аттарды билгенде гана иштейт. Коомдук чечүүчүдөн ички хост атын сураңыз, ал NXDOMAIN кайтарат же сизге тиешеси жок издөө доменинен шаблондук жооп берет. Эч ким текшербеген өтүү керектүү учурда так үзгүлтүк жаратат.
Split DNS ушундан сактоо үчүн бар: компания суффикстери аймакты кармаган чечүүчүгө барат, ал эми коомдук аттар демейки жолдо калат. Дизайн бекем, ал суффикстер тизмесинин толуктугуна көз каранды. Microsoft ар бир суффикс үчүн чечүүчү саясатын документтештирет, ал муну Windows ичинде башкарат, жана ошол эле идея systemd-resolved ичинде маршруттоо домендери жана macOS ичинде аймактуу чечүүчүлөр катары көрүнөт.
Камдык жооп бере алган аймактарды саясаттагы суффикстер менен салыштырыңыз. Бул салыштыруу колдонуучу туннель өзгөрүүсүнөн кийин бир ички сайт чечилбей калганын билдирээрден мурун боштукту табат.
Саясат аркылуу сураңыз, аны айланып өтпөй
Операциялык системанын чечүүчүсү аркылуу сураңыз, анткени серверге түз суроо саясатты айланып өтөт жана ошол сервер эмне дей турганын гана билдирет. Эки жооптун ортосундагы боштук — бүт маселе:
resolvectl query intranet.example.com
dig +short intranet.example.com @198.51.100.53Эгер система суроосу жеке даректи кайтарса, ал эми түз суроо NXDOMAIN кайтарса, саясат иштеп жатат жана алсыз жер — камдык. Эгер экөө тең бирдей коомдук жооп кайтарса, ат сиз ойлогон аймактан тышкары чечилет, ал эми суффикстер тизмеси — кароого тийиштүү жер. Эки чыгышты тең сактаңыз, анткени чечүүчү тууралуу талаш жөндөөлөр баракчасынын скриншотунан эки сап менен тезирээк бүтөт.
Анан ийгиликсиздик жолун машыктырыңыз, анткени эч ким сынабаган камдык — болжол. Бир суроо үчүн тандоолуу чечүүчүнү кара көңдөйгө айландырып, кайсы дарек кайтарын байкаңыз:
ip route add blackhole 198.51.100.53/32
resolvectl query intranet.example.com
ip route del blackhole 198.51.100.53/32Суроо бүтөөрү менен ошол маршрутту жок кылыңыз, болбосо кийинки адам табышмакты мурастайт. Эгер ошол терезеде ички аттар дагы эле чечилсе, аларга көздөлгөн аймактан тыш бир нерсе жооп берди. Эгер алардын ордуна убакыт бүтсө, камдык жок же туура чектелген, жана чечүүчүнүн өз журналы экөөнүн кайсынысы болгонун айтат.
Чечиңиз: кармоо, чектөө же жок кылуу
Экинчи чечүүчүнү керектүү ат мейкиндигине жооп берсе жана профилдин астында жеткиликтүү бойдон калса кармаңыз. Аны бир суффиксти гана көрүүгө тийиш болсо чектеңиз, ал эми аймагы да, документтелген максаты да жок болсо жок кылыңыз. Ишсиз жазуу — пайдасыз келечектеги агым, ал эми жеткирүүчүнүн демейки мааниси максат эмес.
Натыйжаны төрт мамыча түрүндө жазыңыз: суффикс, чечүүчү, интерфейс жана ээси. Ошол сап каалаган скриншоттон тезирээк кийинки аудит суроосуна жооп берет жана тизмени үнсүз кайра иреттеген кардар жаңыртуусунан аман калат.