Tangkapan Split-DNS: nyatakan di mana setiap pemerhatian diambil

Dua orang menyiasat masalah Split-DNS yang sama dan mendapat alamat resolver yang berbeza. Seorang menggunakan alat carian, seorang menangkap paket pada penyesuai, dan seorang lagi membaca diagnostik klien itu sendiri. Tiada siapa berbohong, dan tiada siapa menerangkan peringkat yang sama. Menamakan titik pemerhatian menjadikan percanggahan sebagai peta.

Satu carian, beberapa titik pemerhatian

Untuk satu nama dalaman, terdapat sekurang-kurangnya lima tempat untuk dilihat: aplikasi dan API resolver yang dipanggilnya, dasar domain berkesan pada klien, tangkapan pada penyesuai atau penapis, sempadan gerbang terkawal, dan resolver yang benar-benar menerima pertanyaan itu.

Setiap satu menjawab soalan berbeza, dan tiada satu pun bersendirian membuktikan ke mana pertanyaan itu pergi.

Tangkapan pada penyesuai menunjukkan paket, bukan niat. Ia tidak memberitahu resolver mana yang dipilih klien, dan tangkapan kosong boleh bermakna jawapan cache atau API resolver lain dan bukan paket yang digugurkan. Anggap setiap pemerhatian sebagai bukti tentang satu peringkat. Kemudian susun peringkat itu menjadi laluan.

Penapis klien terletak antara aplikasi dan wayar

Klien VPN dengan Split-DNS menggunakan pemadanan domain sebelum paket meninggalkan mesin. Nama dalam akhiran terowong pergi ke resolver dalaman; segala-galanya pergi ke yang tempatan. Penapis ialah dasar, dan dasar boleh berbeza mengikut platform dan versi klien.

Panduan Split-DNS Secure Client daripada Cisco merangkumi pemadanan domain dan penapis Windows, dan memisahkan apa yang dilihat aplikasi apabila menggunakan API resolver asli daripada apa yang dilihat alat seperti nslookup. Perbezaan itulah intinya.

Mulakan dengan profil berkesan dan satu carian aplikasi biasa. Mana-mana ujian yang menamakan pelayan tertentu ialah lencongan yang disengajakan; jelaskan dengan diagnostik klien itu sendiri, dan jangan biarkan ia menjadi kriteria penerimaan.

nslookup menempuh laluan berbeza daripada aplikasi

nslookup membina pertanyaan DNS sendiri dan boleh memintas dasar resolver sistem pengendalian. Itu menjadikannya alat berguna untuk mengajukan soalan tertentu kepada pelayan tertentu, dan alat mengelirukan untuk menguji apa yang akan dialami aplikasi.

Dalam Windows, jadual dasar penyelesaian nama menentukan akhiran mana menggunakan pelayan mana. Membacanya menunjukkan dasar yang akan diikuti aplikasi, dan itulah bahagian yang sering hilang.

Baca dasar itu kemudian ajukan soalan yang sama melalui resolver biasa:

Get-DnsClientNrptPolicy
Resolve-DnsName intranet.hq.example

Resolver disulitkan menyembunyikan pertanyaan, bukan sambungan

Pelayar dengan resolver DNS-over-HTTPS sendiri ialah kes yang sama sekali berbeza. Pertanyaan keluar di dalam TLS, jadi tangkapan paket menunjukkan sambungan ke alamat resolver tetapi bukan nama yang ditanyakan.

Ketahui dahulu dasar terurus pelayar, kemudian bandingkan dengan carian sistem pengendalian. Pelayar yang dibenarkan memilih resolver sendiri mungkin tidak pernah melihat dasar Split-DNS langsung.

Amaran yang sama terpakai kepada mana-mana klien yang membawa resolver sendiri. Tangkapan yang mengenal pasti sambungan jauh bukan bukti tentang nama pertanyaan. Jika anda memerlukan nama itu, ambil daripada log resolver itu sendiri atau diagnostik aplikasi, dengan peraturan privasi yang terpakai.

Bandingkan dengan ujian berlabel

Pilih nama dalaman yang diluluskan untuk ujian, serta nama awam yang tidak membawa makna sensitif. Untuk setiap satu, catat masa, jenis rekod, jawapan dan dasar yang anda jangkakan.

Di tempat yang dibenarkan, bandingkan penerimaan resolver dengan satu pemerhatian sempit klien atau gerbang:

nslookup intranet.hq.example 10.55.0.53
Get-DnsClientNrptPolicy | Format-List

Jangan sekali-kali menghantar nama peribadi kepada resolver awam yang tidak berkaitan hanya untuk mencipta perbandingan, dan sunting semua yang anda kongsi. Akhir sekali, pisahkan jawapan DNS yang betul daripada sambungan perkhidmatan yang menyusul: alamat peribadi yang telah diselesaikan masih memerlukan laluan dan kebenaran aplikasi.