DNS noplūdes tests: atrisinātāja nosaukums nav maršruts

Trīs izkārtojumi tiek uzskatīti par pareizu DNS VPN lietotājam: vaicājumi operatora atrisinātājam, vaicājumi jūsu izvēlētam šifrētam atrisinātājam un split DNS, kas darba nosaukumus sūta organizācijai. Noplūdes tests ziņo vienu atrisinātāju, un šī vienīgā etiķete nevar pateikt, kāds izkārtojums jums patiešām ir. Vispirms izlemiet paredzēto politiku, pēc tam pārbaudiet pret to. Citādi jūs salīdzināt skaitli ar sajūtu.

Izlemiet, ko gribējāt, pirms lasāt rezultātu

Nosauciet politiku vienā teikumā: visi nosaukumi uz VPN atrisinātāju, visi nosaukumi uz izvēlētu šifrētu atrisinātāju vai split DNS ar iekšējiem nosaukumiem, kas iet uz organizāciju. Katra ir attaisnojama citam lietotājam, un katra dod citu gaidīto atbildi. Bez šī teikuma jebkurš rezultāts, kas atšķiras no foruma ieraksta ekrānuzņēmuma, izskatās satraucoši. Pierakstiet politiku pirms pirmā testa.

Tests, kas veikts pirms politikas noteikšanas, neko nemēra. Tas dod atrisinātāja nosaukumu bez jebkāda atskaites punkta.

Atrisinātāja nosaukums nepierāda ne ceļu, ne saņēmēju

Svarīgi ir divi jautājumi: kas saņēma vaicājumu un kurš maršruts to nesa. Trešās puses atrisinātāju var sasniegt caur tuneli, kamēr iestatījumu ekrāns rāda pakalpojumu sniedzēja adresi. Noplūdes testa lapas etiķete apraksta novērotāja skatu, nevis jūsu maršrutēšanas tabulu.

Pārlūks var izmantot savu šifrēto DNS, kamēr vietnes trafiks iet caur tuneli, un kešatmiņā saglabātas atbildes var ļaut lapai ielādēties bez jauna vaicājuma. Tāpēc publiskās IP rezultāts neko neizsaka par DNS. DoH un DoT aizsargā vaicājumu ceļā uz atrisinātāju, un šis atrisinātājs joprojām redz nosaukumus.

resolvectl status
resolvectl query example.com
dig +short example.com

Split DNS padara vairākus atrisinātājus pareizus

Organizācija var sūtīt iekšējos nosaukumus uz savu DNS un visu pārējo citur. Tāpēc tests, kas uzskaita vairākus atrisinātājus, var aprakstīt paredzēto politiku, nevis kļūdu. Pirms kaut ko atslēgt, salīdziniet novēroto kopu ar dokumentētajiem split DNS noteikumiem. Iekšējā atrisinātāja izslēgšana, lai testa lapa izskatītos tīrāka, salauž privātos nosaukumus.

Split tunneling un split DNS ir dažādas izvēles: viens maršrutē paketes, otrs maršrutē jautājumus. Tuneļa maršruta maiņa nepārvieto nosaukuma vaicājumu, un atrisinātāja maiņa nesalabo vietnes ceļu. IPv6 ir trešais jautājums, jo nejaušs IPv6 savienojums automātiski nav DNS noplūde.

Pārvērtiet rezultātu izmeklēšanā

Pirms testa pierakstiet paredzēto politiku un pārlūka drošā DNS iestatījumu. Veiciet testu ar aktīvu tuneli, pierakstiet katru atrisinātāju, ko tas nosauc, un salīdziniet kopu ar politiku, nevis ar vienu gaidīto adresi.

Atkārtojiet pēc atkārtotas pievienošanās, ja simptoms parādās tad, jo savienošanās laikā piemērota politika vēlāk var pazust. Iekšējiem DNS izņēmumiem izmantojiet klienta dokumentāciju, nevis miniet iestatījumus.

Izlabojiet atrasto neatbilstību: pārlūka izvēli, VPN DNS iestatījumu vai split DNS noteikumu. Ja vaicājumiem jāapstājas, kad tunelis neizdodas, kill switch ir atsevišķs iestatījums, un tikai DNS konfigurācija to nenodrošina. RFC 8484 specifikācija ir noderīga, kad jāpaskaidro, ko šifrēts atrisinātājs slēpj un ko neslēpj.