Split-DNS-Ophuele: sot wou all Observatioun geholl gouf

Zwee Leit schaffe mat demselwechte Split-DNS-Problem a kréien ënnerschiddlech Resolver-Adressen. Een huet en Ufroinstrument benotzt, een aneren huet Paketen um Adapter opgeholl, an en Drëtten huet d’Diagnostik vum Client selwer gelies. Keen vun hinnen lügt, an keen beschreift déiselwecht Etapp. De Beobachtungspunkt nennen mécht aus engem Widdersproch eng Kaart.

Eng Ufro, méi Beobachtungspunkten

Fir een eenzegen internen Numm gëtt et op d’mannst fënnef Plazen ze kucken: d’Applikatioun an d’Resolver-API, déi se opruffe, d’effektiv Domänepolitik um Client, eng Ophuel um Adapter oder um Filter, eng kontrolléiert Gateway-Grenz an de Resolver, deen d’Ufro tatsächlech kritt.

Jiddwereen äntwert op eng aner Fro, an keen eleng beweist, wou d’Ufro higaang ass.

Eng Ophuel um Adapter weist Paketen, net Absicht. Si seet net, wéi en Resolver de Client gewielt huet, an eng eidel Ophuel kann eng gespäichert Äntwert oder eng aner Resolver-API bedeiten anstatt e verworfene Paket. Behandelt all Observatioun als Beweis iwwer eng Etapp. Setzt duerno d’Etappen zu engem Wee zesummen.

De Filter vum Client sëtzt tëscht Applikatioun a Kabel

E VPN-Client mat Split-DNS applizéiert d’Domänenübereinstimmung, éier de Paket d’Maschinn verléisst. Nimm am getunnelte Suffix ginn un den internen Resolver; alles anescht gëtt un de lokalen. De Filter ass Politik, a Politik kann no Plattform a Clientversioun variéieren.

D’Secure Client Split-DNS-Richtlinnen vu Cisco decken d’Domänenübereinstimmung an de Windows-Filter of, an si trennen, wat eng Applikatioun gesäit, wa se déi natives Resolver-API benotzt, dovun, wat en Instrument wéi nslookup gesäit. Genau déi Ënnerscheeder sinn de Punkt.

Fänkt mam effektiven Profil an enger gewéinlecher Applikatiounsufro un. All Test, deen e spezifesche Server nennt, ass en absichtlechen Ëmwee; erklärt en mat der Diagnostik vum Client selwer, a loosst en net zum Akzeptanzkriterium ginn.

nslookup hëlt en anere Wee wéi d’Applikatioun

nslookup baut seng eegen DNS-Ufro an kann d’Resolver-Politik vum Betribssystem ëmgoen. Dat mécht en nëtzlech, fir engem bestëmmte Server eng bestëmmte Fro ze stellen, an oflehnend, fir ze testen, wat eng Applikatioun erliewe wäert.

Op Windows entscheet d’Tabelle vun der Numm-Opléisungspolitik, wéi en Suffix wéi e Server benotzt. Se liese weist d’Politik, déi d’Applikatioun wäert befollegen, an dat ass dacks dat feelend Stéck.

Liest d’Politik a stellt duerno déiselwecht Fro iwwer den normale Resolver:

Get-DnsClientNrptPolicy
Resolve-DnsName intranet.hq.example

Verschlësselte Resolvere verstoppen d’Ufro, net d’Verbindung

E Browser mat sengem eegene DNS-over-HTTPS-Resolver ass e ganz anere Fall. D’Ufro geet bannent TLS eraus, dofir weist eng Pakketsophuel eng Verbindung zu enger Resolver-Adress, awer net den Numm, dee gefrot gëtt.

Fannt d’verwalt Politik vum Browser eraus, a vergläicht se duerno mat enger Ufro vum Betribssystem. En Browser, deem et erlaabt ass, säin eegene Resolver ze wielen, gesäit d’Split-DNS-Politik vläicht guer net.

Déiselwecht Virsiicht gilt fir all Client, dee säin eegene Resolver matbréngt. Eng Ophuel, déi d’Verbindung aus der Ferne identifizéiert, ass kee Beweis iwwer den Ufrenumm. Wann dir den Numm braucht, hëlt en aus de Logge vum Resolver selwer oder aus der Diagnostik vun der Applikatioun, mat de Privatsphär-Regelen, déi gëllen.

Vergläicht mat engem markéierten Test

Wielt en accordéierten internen Numm fir den Test, plus en ëffentlechen Numm, deen engem keng sensibel Bedeitung huet. Fir all eenzel notéiert d’Zäit, den Typ vun der Notiz, d’Äntwert an d’Politik, déi dir erwaart hutt.

Wou et erlaabt ass, vergläicht den Empfang vum Resolver mat enger eenzeger enker Beobachtung vum Client oder vum Gateway:

nslookup intranet.hq.example 10.55.0.53
Get-DnsClientNrptPolicy | Format-List

Schéckt ni privat Nimm un onspezifesch ëffentlech Resolvere just fir eng Vergläichung ze schafen, a redigéiert alles, wat dir deelt. Endlech trennt eng korrekt DNS-Äntwert vun der Déngschtverbindung, déi duerno kënnt: déi opgeléist privat Adress brauch nach eng Route an eng Applikatiounsberechtegung.