Split-Tunnel schléisst de Browser aus, net seng DNS-Ufroen

En direkten Datenwee verréckelt d’Nimmopfwéiung net. Préift, wéi e Resolver d’Ufro kritt an ob dat d’Absicht war, ier Dir et e Leak nennt.

Browser aus dem Tunnel ausgeschloss, d’Säit mat der ëffentlecher IP bestätegt, datt säin Trafik iwwer d’Heemverbindung erausgeet, an d’intern Wiki geet trotzdem net op. D’Nimmopfwéiung ass soss anzwousch gaang, an dat soss anzwousch ass meeschtens de Resolver, deen de VPN ageriicht huet. Datenwee an Resolverwee sinn an de meeschte Split-Tunnel-Entwërf getrennt Entscheedungen. Préift, wéien de Browser tatsächlech benotzt huet, ier Dir den Ausschloss als defekt bezeechent.

Datenwee a Resolverwee trennen sech

En Ausschloss hëlt d’Pakete vun enger Applikatioun aus dem Tunnel, wat eng Routing- a Firewall-Entscheedung um Datenwee ass. D’Nimmopfwéiung ass eng aner Sich: e Prozess freet de Resolver vum System, an dee Resolver entscheet, wéi e Server d’Fro kritt.

Beides kann absichtlech a verschidde sinn. Eng Aarbechtsdeployement kann intern Nummräim beim Firmenresolver halen, während et ausgewielt ëffentlech Surfen aus dem Tunnel erausschéckt, just well intern Nimm soss anzwousch net opgeléist ginn. De verwirrende Fall ass de Géigendeel: eng ëffentlech Säit schläit fehl, well de Browser ni de Resolver gefrot huet, deen d’Deployement erwaart huet. Notéiert d’Route an de Resolver getrennt, an d’Halschent vun den Diskussiounen verschwënnt.

Fannt eraus, wéi e Prozess d’Fro stellt

E Browser kann de Resolver vum System, säin eegenen verschlësselten DNS-Service oder e Resolver notzen, deen d’Betribssystem pro Netz vergëtt. Den éischten follegt der Plattformpolitik, den zweeten ëmgeet déi Politik komplett, an den drëtten hänkt dovun of, op wéi eng Verbindung d’Ufro geroutet gëtt.

resolvectl status
resolvectl query intranet.example.net
dig +short +time=2 intranet.example.net @10.52.0.2
scutil --dns | head -n 40

Liest déi gülteg Konfiguratioun ier Dir testt: wéi eng Verbindungen DNS-Server droen, wéi eng Nummräim se behaapten, an ob eng Politik pro Numm d’Standardännerung iwwerschreift. Ënner Linux benotzt Split DNS Routing-Domänen; ënner Windows mécht d’Tabell vun der Nimmopfwéiungspolitik déi selwecht Aarbecht fir Nummräim. Keng vun deenen ass op enger Leak-Test-Säit ze gesinn.

Entscheet, wéi e Resolver wéi en Numm gesäit

Schreift d’intendéiert Kartéierung op, ier Dir eppes ännert: intern Nimm zum Firmenresolver, ëffentlech Nimm zu deem Service, deen d’Politik erlaabt, an Ausnamen mat engem Verantwortlechen. Ouni déi Lëscht gëtt all Etikett vum Leak-Test eng Politikdiskussioun, déi keen entscheede kann.

Préift dann dem Browser seng eegen Astellung, well verschlësselte DNS am Browser applizéiert gëtt, ier d’Betribssystem d’Ufro kritt. E Benotzer, deen en ageschalt huet, fir e Captive Portal z’ëmgoen, huet de Resolver, deen d’Deployement gewielt huet, roueg iwwerschriwwen. Dat ass eng Konfiguratiounsentscheedung an net e Leak, an se verdéngt eng Entscheedung anstatt eng Sperrlescht.

Schreift net all DNS-Feld nei, fir datt een Testetikett gréng gëtt. D’Etikett beschreift eng Ufro vun engem Prozess zu engem Moment.

Préift Ufro a Verbindung getrennt

Test déi zwou Weeër onofhängeg. Den Test vun der Verbindung weist d’Datenroute, an den Test vum Resolver weist, wien den Numm kritt huet.

curl -sS --max-time 8 https://api.ipify.org
resolvectl query example.net
dig +short example.net

Frot de Resolver och ausdrécklech, sou datt e Feeler dem Server an net dem Wee zougeschriwwe gëtt. Start dann de Browser nei a widderhëlt, well Applikatiounen negativ Äntwerten cacheën an e ale Feeler permanent ausgesäit.

No enger geneemegter Ännerung notéiert d’Datenroute an den Empfänger vum Resolver als zwou getrennte Linnen mat dem Datum. Wann d’Verhalen bei der nächster Verbindung zréckkënnt, ass de Profil ze verbesseren, deen et liwwert, net de Browser.

Ähnlech Artikelen