Terowong berpecah mengecualikan pelayar, bukan pertanyaan DNS-nya

Pelayar dikecualikan daripada terowong, halaman IP awam mengesahkan trafiknya keluar melalui sambungan rumah, dan wiki dalaman masih tidak terbuka. Resolusi nama pergi ke tempat lain, dan tempat lain itu biasanya penyelesai yang ditetapkan oleh VPN. Laluan data dan laluan penyelesai ialah keputusan berasingan dalam kebanyakan reka bentuk terowong berpecah. Semak yang mana pelayar benar-benar gunakan sebelum menyebut pengecualian itu rosak.

Laluan data dan laluan penyelesai berpisah

Pengecualian mengeluarkan paket aplikasi daripada terowong, yang merupakan keputusan penghalaan dan tembok api pada laluan data. Resolusi nama ialah carian lain: satu proses bertanya kepada penyelesai sistem, dan penyelesai itu menentukan pelayan mana yang menerima soalan.

Kedua-duanya boleh disengajakan dan berbeza. Satu penggunaan kerja boleh menyimpan ruang nama dalaman pada penyelesai korporat sambil menghantar pelayaran awam terpilih di luar terowong, semata-mata kerana nama dalaman tidak diselesaikan di tempat lain. Kes yang mengelirukan ialah sebaliknya: tapak awam gagal kerana pelayar tidak pernah bertanya kepada penyelesai yang dijangka oleh penggunaan. Catat laluan dan penyelesai secara berasingan, dan separuh perdebatan hilang.

Cari proses mana yang bertanya

Pelayar boleh menggunakan penyelesai sistem, perkhidmatan DNS tersulitnya sendiri, atau penyelesai yang ditetapkan sistem pengendalian bagi setiap rangkaian. Yang pertama mengikut dasar platform, yang kedua memintas dasar itu sepenuhnya, dan yang ketiga bergantung pada pautan mana pertanyaan dihalakan.

resolvectl status
resolvectl query intranet.example.net
dig +short +time=2 intranet.example.net @10.52.0.2
scutil --dns | head -n 40

Baca konfigurasi berkesan sebelum menguji: pautan mana membawa pelayan DNS, ruang nama apa yang dituntut, dan sama ada dasar setiap nama mengatasi lalai. Dalam Linux DNS berpecah menggunakan domain penghalaan; dalam Windows jadual dasar resolusi nama melakukan kerja yang sama untuk ruang nama. Kedua-duanya tidak kelihatan dari halaman ujian kebocoran.

Tentukan penyelesai mana melihat nama mana

Tulis pemetaan yang dimaksudkan sebelum mengubah apa-apa: nama dalaman ke penyelesai korporat, nama awam ke perkhidmatan yang dibenarkan dasar, dan pengecualian dengan pemiliknya. Tanpa senarai itu, setiap label ujian kebocoran menjadi perdebatan dasar yang tiada siapa dapat selesaikan.

Kemudian semak tetapan pelayar itu sendiri, kerana DNS tersulit dalam pelayar digunakan sebelum sistem pengendalian menerima pertanyaan. Pengguna yang mengaktifkannya untuk memintas portal tawanan telah senyap menggantikan penyelesai yang dipilih oleh penggunaan. Itu keputusan konfigurasi dan bukan kebocoran, dan ia berhak mendapat keputusan, bukan senarai sekatan.

Jangan tulis semula setiap medan DNS supaya satu label ujian menjadi hijau. Label itu menerangkan satu pertanyaan daripada satu proses pada satu saat.

Sahkan pertanyaan dan sambungan secara berasingan

Uji kedua-dua laluan secara berasingan. Ujian sambungan menunjukkan laluan data, dan ujian penyelesai menunjukkan siapa yang menerima nama.

curl -sS --max-time 8 https://api.ipify.org
resolvectl query example.net
dig +short example.net

Tanya penyelesai secara jelas juga, supaya kegagalan boleh dikaitkan dengan pelayan dan bukan laluan. Kemudian mulakan semula pelayar dan ulangi, kerana aplikasi menyimpan jawapan negatif dalam cache dan kegagalan lama kelihatan berterusan.

Selepas perubahan diluluskan, catat laluan data dan penerima penyelesai sebagai dua baris berasingan dengan tarikh. Jika tingkah laku kembali pada sambungan semula seterusnya, profil yang menyediakannya perlu dibaiki, bukan pelayar.