Sadalītais tunelis izslēdz pārlūku, nevis tā DNS vaicājumus

Tiešs datu ceļš nepārvieto vārdu izšķiršanu. Pārbaudiet, kurš risinātājs saņem vaicājumu un vai tas bija nodoms, pirms saucat to par noplūdi.

Pārlūks izslēgts no tuneļa, publiskās IP lapa apstiprina, ka tā trafiks iziet pa mājas savienojumu, un iekšējā wiki joprojām neatveras. Vārdu izšķiršana aizgāja citur, un tas citur parasti ir risinātājs, ko iestatīja VPN. Datu ceļš un risinātāja ceļš ir atsevišķi lēmumi vairumā sadalītā tuneļa projektu. Pārbaudiet, kuru pārlūks patiešām izmantoja, pirms saucat izslēgšanu par salauztu.

Datu ceļš un risinātāja ceļš šķiras

Izslēgšana izņem lietotnes paketes no tuneļa, kas ir maršrutēšanas un ugunsmūra lēmums datu ceļā. Vārdu izšķiršana ir cita meklēšana: process jautā sistēmas risinātājam, un tas risinātājs izlemj, kurš serveris saņem jautājumu.

Abi var būt tīši un atšķirīgi. Darba izvietojums var paturēt iekšējās vārdu telpas uzņēmuma risinātājā, vienlaikus sūtot izvēlētu publisku pārlūkošanu ārpus tuneļa, tieši tāpēc, ka iekšējie vārdi nekur citur netiek izšķirti. Mulsinošais gadījums ir pretējs: publiska vietne neizdodas, jo pārlūks nekad nejautāja risinātājam, kuru izvietojums gaidīja. Pierakstiet maršrutu un risinātāju atsevišķi, un puse strīdu pazūd.

Noskaidrojiet, kurš process uzdod jautājumu

Pārlūks var izmantot sistēmas risinātāju, savu šifrēto DNS pakalpojumu vai risinātāju, ko operētājsistēma piešķir katram tīklam. Pirmais seko platformas politikai, otrais pilnībā apiet šo politiku, un trešais ir atkarīgs no tā, uz kuru savienojumu vaicājums tiek maršrutēts.

resolvectl status
resolvectl query intranet.example.net
dig +short +time=2 intranet.example.net @10.52.0.2
scutil --dns | head -n 40

Pirms testēšanas izlasiet spēkā esošo konfigurāciju: kuri savienojumi nes DNS serverus, kādas vārdu telpas tie pieprasa un vai politika katram vārdam aizstāj noklusējumu. Linux sadalītais DNS izmanto maršrutēšanas domēnus; Windows vārdu izšķiršanas politikas tabula dara to pašu vārdu telpām. Neviens nav redzams no noplūdes testa lapas.

Izlemiet, kurš risinātājs redz kuru vārdu

Pierakstiet paredzēto kartējumu, pirms kaut ko maināt: iekšējos vārdus uzņēmuma risinātājam, publiskos vārdus pakalpojumam, ko atļauj politika, un izņēmumus ar atbildīgo. Bez šī saraksta katra noplūdes testa etiķete kļūst par politisku strīdu, ko neviens nevar atrisināt.

Pēc tam pārbaudiet paša pārlūka iestatījumu, jo šifrētais DNS pārlūkā tiek piemērots pirms operētājsistēma saņem vaicājumu. Lietotājs, kurš to ieslēdza, lai apietu uztveršanas portālu, klusi ir aizstājis risinātāju, ko izvēlējās izvietojums. Tas ir konfigurācijas lēmums, nevis noplūde, un tas pelnījis lēmumu, nevis bloķēšanas sarakstu.

Nepārrakstiet katru DNS lauku, lai viena testa etiķete kļūtu zaļa. Etiķete apraksta vienu vaicājumu no viena procesa vienā mirklī.

Pārbaudiet vaicājumu un savienojumu atsevišķi

Pārbaudiet abus ceļus atsevišķi. Savienojuma tests parāda datu maršrutu, un risinātāja tests parāda, kas saņēma vārdu.

curl -sS --max-time 8 https://api.ipify.org
resolvectl query example.net
dig +short example.net

Jautājiet risinātājam arī tieši, lai neveiksmi varētu attiecināt uz serveri, nevis ceļu. Pēc tam restartējiet pārlūku un atkārtojiet, jo lietotnes kešat negatīvas atbildes un veca neveiksme izskatās noturīga.

Pēc apstiprinātas izmaiņas pierakstiet datu maršrutu un risinātāja saņēmēju kā divas atsevišķas rindas ar datumu. Ja uzvedība atgriežas nākamajā savienojumā, labot jālabo profilu, kas to nodrošina, nevis pārlūku.

Saistītie raksti