DNS тест за истекување: името на резолверот не е рутата

Три поставки се сметаат за правилен DNS за корисник на VPN: барања до резолверот на операторот, барања до шифриран резолвер што сами сте го избрале и split DNS што работните имиња ги испраќа до организацијата. Тестот за истекување пријавува еден резолвер, а таа единствена ознака не може да ви каже која поставка навистина ја имате. Прво одлучете ја предвидената политика, потоа тестирајте спрема неа. Инаку споредувате број со чувство.

Одлучете што сакавте пред да го прочитате резултатот

Именувајте ја политиката во една реченица: сите имиња до VPN резолверот, сите имиња до избран шифриран резолвер или split DNS со внатрешни имиња што одат до организацијата. Секоја е одбранива за различен корисник и секоја дава различен очекуван одговор. Без таа реченица, секој резултат што се разликува од слика од екран во објава на форум изгледа загрижувачки. Запишете ја политиката пред првиот тест.

Тест извршен пред да се дефинира политиката не мери ништо. Тој дава име на резолвер без никаква референтна точка.

Името на резолверот не докажува ниту патека, ниту примач

Важни се две прашања: кој го прими барањето и која рута го пренесе. До резолвер на трета страна може да се стигне низ тунелот, додека екранот за поставки ја покажува адресата на провајдерот. Ознаката на страницата за тест за истекување го опишува погледот на набљудувачот, не вашата табела за рутирање.

Браузерот може да користи свој шифриран DNS додека сообраќајот на страницата оди низ тунелот, а кешираните одговори можат да дозволат страницата да се вчита без ново пребарување. Затоа резултатот од јавна IP адреса не кажува ништо за DNS. DoH и DoT го штитат барањето на патот до резолверот, а тој резолвер сепак ги гледа имињата.

resolvectl status
resolvectl query example.com
dig +short example.com

split DNS прави повеќе резолвери да бидат точни

Организацијата може внатрешните имиња да ги испраќа до својот DNS, а сè друго на друго место. Затоа тест што наведува неколку резолвери може да ја опишува предвидената политика, а не дефект. Споредете го забележаното множество со документирани правила за split DNS пред да исклучите нешто. Исклучувањето на внатрешниот резолвер за тест-страницата да изгледа почисто ги крши приватните имиња.

split tunneling и split DNS се различни избори: едниот рутира пакети, другиот рутира прашања. Менувањето на рутата на тунелот не го поместува пребарувањето на име, а менувањето на резолверот не ја поправа патеката на веб-страницата. IPv6 е трето прашање, бидејќи ненамерна IPv6 врска не е автоматски DNS истекување.

Претворете го резултатот во истрага

Запишете ја предвидената политика и поставката за безбеден DNS на браузерот пред тестирањето. Извршете го тестот со активен тунел, забележете го секој резолвер што го наведува и споредете го множеството со политиката, а не со една очекувана адреса.

Повторете по повторно поврзување ако симптомот се појавува тогаш, бидејќи политика применета при поврзувањето може подоцна да се изгуби. За внатрешни DNS исклучоци користете ја документацијата на клиентот, наместо да ги погодувате поставките.

Поправете го несовпаѓањето што го најдовте: избор на браузер, VPN DNS поставка или правило за split DNS. Ако барањата мора да запрат кога тунелот ќе откаже, kill switch е одделна поставка и самата DNS конфигурација нема да ја обезбеди. Спецификацијата RFC 8484 е корисна кога треба да објасните што шифриран резолвер крие, а што не.