DNS nuotėkio testas: sprendėjo pavadinimas nėra maršrutas

Sprendėjo pavadinimas nepasakys, ar DNS apėjo tunelį. Nuspręskite norimą politiką, tada palyginkite gavėją, maršrutą ir išimtis.

Trys išdėstymai laikomi teisingu DNS VPN naudotojui: užklausos operatoriaus sprendėjui, užklausos pasirinktam šifruotam sprendėjui ir split DNS, siunčiantis darbo pavadinimus organizacijai. Nuotėkio testas praneša vieną sprendėją, ir ta viena etiketė nepasakys, kokį išdėstymą iš tikrųjų turite. Pirmiausia nuspręskite numatytą politiką, tada tikrinkite pagal ją. Priešingu atveju lyginate skaičių su jausmu.

Nuspręskite, ko norėjote, prieš skaitydami rezultatą

Įvardykite politiką vienu sakiniu: visi pavadinimai į VPN sprendėją, visi pavadinimai į pasirinktą šifruotą sprendėją arba split DNS su vidiniais pavadinimais, einančiais į organizaciją. Kiekviena pateisinama skirtingam naudotojui, ir kiekviena duoda skirtingą laukiamą atsakymą. Be to sakinio bet koks rezultatas, besiskiriantis nuo forumo įrašo ekrano kopijos, atrodo nerimą keliantis. Užsirašykite politiką prieš pirmą testą.

Testas, atliktas prieš apibrėžiant politiką, nieko nematuoja. Jis pateikia sprendėjo pavadinimą be jokio atskaitos taško.

Sprendėjo pavadinimas neįrodo nei kelio, nei gavėjo

Svarbūs du klausimai: kas gavo užklausą ir kuris maršrutas ją nešė. Trečiosios šalies sprendėją galima pasiekti per tunelį, nors nustatymų ekranas rodo teikėjo adresą. Nuotėkio testo puslapio etiketė apibūdina stebėtojo požiūrį, o ne jūsų maršrutizavimo lentelę.

Naršyklė gali naudoti savo šifruotą DNS, kol svetainės srautas eina per tunelį, o talpykloje esantys atsakymai gali leisti puslapiui įsikelti be naujos užklausos. Todėl viešo IP rezultatas nieko nesako apie DNS. DoH ir DoT apsaugo užklausą kelyje iki sprendėjo, ir tas sprendėjas vis tiek mato pavadinimus.

resolvectl status
resolvectl query example.com
dig +short example.com

split DNS padaro kelis sprendėjus teisingus

Organizacija gali siųsti vidinius pavadinimus į savo DNS, o visa kita kitur. Todėl testas, išvardijantis kelis sprendėjus, gali apibūdinti numatytą politiką, o ne gedimą. Prieš ką nors išjungdami palyginkite stebimą rinkinį su dokumentuotomis split DNS taisyklėmis. Vidinio sprendėjo išjungimas, kad testo puslapis atrodytų švariau, sugadina privačius pavadinimus.

Split tunneling ir split DNS yra skirtingi pasirinkimai: vienas maršrutizuoja paketus, kitas – klausimus. Tunelio maršruto keitimas neperkelia pavadinimo užklausos, o sprendėjo keitimas nepataiso svetainės kelio. IPv6 yra trečias klausimas, nes netyčinis IPv6 ryšys automatiškai nėra DNS nuotėkis.

Paverskite rezultatą tyrimu

Prieš testą užrašykite numatytą politiką ir naršyklės saugaus DNS nustatymą. Atlikite testą su aktyviu tuneliu, užrašykite kiekvieną sprendėją, kurį jis įvardija, ir palyginkite rinkinį su politika, o ne su vienu laukiamu adresu.

Pakartokite po prisijungimo iš naujo, jei simptomas atsiranda tada, nes prisijungimo metu taikyta politika vėliau gali būti prarasta. Vidinėms DNS išimtims naudokite kliento dokumentaciją, o ne spėliokite nustatymus.

Ištaisykite rastą neatitikimą: naršyklės pasirinkimą, VPN DNS nustatymą ar split DNS taisyklę. Jei užklausos turi sustoti, kai tunelis sugenda, kill switch yra atskiras nustatymas, ir vien DNS konfigūracija to nesuteiks. RFC 8484 specifikacija naudinga, kai reikia paaiškinti, ką šifruotas sprendėjas slepia, o ko ne.

Susiję straipsniai