Таны VPN гурван DNS сервер илгээдэг: аль нь хариу өгдөг вэ?
Нэмэлт бичлэгүүд нь нөөц сонголт, домэйн тус бүрийн маршрут эсвэл физик холбоосын үлдэгдэл байж болно. Жагсаалтыг алдагдал гэж нэрлэхийн өмнө бичлэг бүрийг хамрах хүрээтэй нь холбоно уу.
Холбогдсоны дараа тохиргооны хуудсыг нээхэд гурван DNS хаяг жагсаагдсан байна; аудитын асуулт бол тэдгээрийн аль нь таны сүүлийн асуулгад үйлчилсэн бэ. Зөвхөн тоо нь юунд ч хариу өгөхгүй, учир нь клиентийн түлхэлт, физик интерфэйс, домэйн тус бүрийн бодлого бүгд нэг л харагдацад бичдэг. Эдгээр бичлэгүүд өөр өөр хамрах хүрээтэй бөгөөд хариу өгөгчийг байрлал бус, хамрах хүрээ шийддэг. Эх сурвалжуудыг салгаж эхэл, дараа нь танд чухал нэртэй эх сурвалжийг шалга.
Жагсаалт яагаад таны профайлаас урт вэ
VPN клиент туннелийн холбоосын резолвер хаягуудыг түлхэж, үйлдлийн систем тэдгээрийг физик интерфэйс өмнө нь байсан зүйлийн хажууд хадгална. Маршрутлагч, корпорацийн DHCP түрээс, хоёр дахь VPN, домэйн тус бүрийн бодлого тус бүр өөрийн бичлэгийг нэмнэ. Тиймээс хуудасны гурван хаяг нэг ажилд гурван өрсөлдөгч бус, гурван хамрах хүрээ гэсэн үг байж болно. Тоог алдагдлын баталгаа гэж унших нь энэ аудитын эхний алдаа.
Нэг интерфэйсийн дотор клиент серверүүдээ үнэхээр дараалан туршиж үздэг тул эрэмбэлсэн жагсаалт утгагүй биш. Дараалал биш зүйл бол нэгтгэсэн харагдац бөгөөд профайл, физик холбоос, домэйн тус бүрийн дүрмүүдийн бичлэгүүд нэг ч зэрэглэлгүйгээр хажуу хажуугаар зогсдог. Энэ ялгаа нь юуг шалгахаа шийднэ: дараалал нь нэг хамрах хүрээний доторх зан төлөвийг тайлбарлаж, хамрах хүрээ нь бусад бүхнийг тайлбарлана.
Шифрлэгдсэн DNS зургийг аппликейшны дотроос эвддэг. Өөрийн DNS-over-HTTPS резолвертой хөтөч эсвэл чат клиент асуулгыг үйлдлийн системийн жагсаалтыг бүрэн тойрч илгээдэг тул тохиргооны хуудасны хаягууд апп-ын хэзээ ч үүсгээгүй урсгалыг дүрсэлдэг. Нэр буруу гарсныг профайлд гүтгэхийн өмнө апп-ын өөрийн резолвер тохиргоог шалга.
Гурван шалгалт тус бүр юу гэж хэлдэг
Эх сурвалж бүр өөрийн ул мөрийг өөр газар үлдээдэг бөгөөд нэг ч тушаал бүгдийг харуулдаггүй. Энэ нь тохиргооны хуудасны хажууд хадгалах үнэ цэнэтэй зураглал юм:
| Entry source | Where it is visible | What it proves |
|---|---|---|
| Tunnel profile | Link-scoped DNS on the tunnel device | Which servers the VPN asked you to use, not which one answered |
| Per-domain policy | Suffix list or routing domains | Which names are steered to a particular resolver |
| Physical link | DNS on the LAN interface | Whether a second scope still exists outside the tunnel |
| Application resolver | App settings, absent from the OS list | Whether the system list was consulted at all |
systemd-resolved ашигладаг системд resolvectl status эрх мэдэлтэй, учир нь энэ нь маршрутын домэйнүүдийн хамт холбоос тус бүрийн DNS-ийг мэдээлдэг. macOS scutil --dns-аар хариулдаг бөгөөд энэ нь хамрах хүрээтэй резолверуудыг туршилтын дарааллаар жагсаана. Windows хоёр хагасыг хуваадаг: интерфэйс тус бүрийн серверүүдэд Get-DnsClientServerAddress, суффикс дүрмүүдэд Get-DnsClientNrptPolicy. Бодитоор хэрэглэгдэж буй резолверт хамаарах тушаалыг ажиллуул, учир нь контейнер ажиллуулах орчин ба ширээний резолвер бүхий машин дээр нэгээс олон суулгасан байж болно.
Таны бүсэд хариу өгч чадахгүй нөөц резолвер
Хоёр дахь бичлэг нь ихэвчлэн хүртээмжийн үүднээс байдаг бөгөөд хүртээмж нь нөөц нэрсийг мэддэг тохиолдолд л ажилладаг. Нийтийн резолвероос дотоод хост нэрийг асуухад NXDOMAIN буцаана, эсвэл танд ямар ч хамаагүй хайлтын домэйнээс орлуулагч хариу өгнө. Хэн ч шалгаагүй нөөц шилжилт нь яг хэрэгтэй үед тасалдал үүсгэдэг.
Split DNS үүнээс сэргийлэх зорилготой: компанийн суффиксууд бүсийг эзэмшдэг резолверт очдог, нийтийн нэрс анхдагч замд үлддэг. Дизайн нь бөх бөгөөд суффиксын жагсаалт бүрэн байхаас хамаардаг. Microsoft суффикс тус бүрийн резолвер бодлого-ыг баримтжуулдаг бөгөөд энэ нь Windows дээр үүнийг удирддаг, мөн ижил санаа systemd-resolved дотор маршрутын домэйн, macOS дээр хамрах хүрээтэй резолвер хэлбэрээр гарч ирдэг.
Нөөц хариу өгч болох бүсүүдийг бодлогын суффиксуудтай харьцуул. Энэ харьцуулалт хэрэглэгч туннелийн өөрчлөлтийн дараа нэг дотоод сайт шийдэгдэхээ больсон гэж мэдээлэхээс өмнө зөрүүг олно.
Бодлогын дундуур асуу, хажуугаар нь биш
Үйлдлийн системийн резолвероор асуу, учир нь серверт шууд асуулга нь бодлогыг тойрч, зөвхөн тэр сервер юу хэлэхийг мэдээлдэг. Хоёр хариултын хоорондох зөрүү бол бүх асуудал:
resolvectl query intranet.example.com
dig +short intranet.example.com @198.51.100.53Хэрэв системийн асуулга хувийн хаяг буцааж, шууд асуулга NXDOMAIN буцаавал бодлого ажиллаж байгаа бөгөөд сул цэг нь нөөц юм. Хэрэв хоёулаа ижил нийтийн хариу буцаавал нэр нь таны зорьсон хамрах хүрээнээс гадуур шийдэгдэж байгаа бөгөөд суффиксын жагсаалт харах газар юм. Хоёр гаралтыг хадгал, учир нь резолверын маргаан тохиргооны хуудасны дэлгэцийн зурагнаас илүү хоёр мөрөөр хурдан шийдэгддэг.
Дараа нь бүтэлгүйтлийн замыг дасгалжуул, учир нь хэн ч шалгаагүй нөөц бол таамаглал. Нэг асуулгад илүүд үзсэн резолверыг хар нүх болгож, аль хаяг буцаж ирэхийг ажигла:
ip route add blackhole 198.51.100.53/32
resolvectl query intranet.example.com
ip route del blackhole 198.51.100.53/32Асуулга дуусмагц тэр маршрутыг устга, эс бөгөөс дараагийн хүн нууцлаг зүйлийг өвлөнө. Хэрэв тэр хугацаанд дотоод нэрс шийдэгдсээр байвал зорьсон хамрах хүрээнээс гадуур ямар нэг зүйл тэдэнд хариу өгсөн. Хэрэв оронд нь хугацаа дууссан бол нөөц байхгүй эсвэл зөв хязгаарлагдсан бөгөөд резолверын өөрийн лог хоёрын алийг нь байсныг хэлнэ.
Шийд: хадгалах, хязгаарлах эсвэл устгах
Хэрэгтэй нэрийн орон зайд хариу өгч, профайлын дор хүртээмжтэй хэвээр байвал хоёр дахь резолверыг хадгал. Зөвхөн нэг суффикс харах ёстой бол хязгаарла, хамрах хүрээ ч, баримтжуулсан зорилго ч байхгүй бол устга. Ажилгүй бичлэг бол ашиггүй ирээдүйн алдагдал бөгөөд нийлүүлэгчийн анхдагч утга нь зорилго биш.
Үр дүнг дөрвөн баганад бич: суффикс, резолвер, интерфэйс, эзэмшигч. Тэр мөр нь ямар ч дэлгэцийн зургаас хурдан дараагийн аудитын асуултад хариулж, жагсаалтыг чимээгүй дахин эрэмбэлдэг клиентийн шинэчлэлтийг давна.