Menguji DNS berpecah tanpa membocorkan nama dalaman

Bertanya nama dalaman kepada resolver awam membocorkan nama itu dan melangkau peraturan yang anda mahu uji. Pertanyaan itu sampai ke pelayan yang anda tidak kawal, jawapannya datang dari ruang nama yang tidak sepatutnya melihatnya, dan hasilnya tidak memberitahu apa-apa tentang sama ada DNS berpecah berfungsi. Menguji DNS berpecah bermaksud menguji laluan resolver yang benar-benar digunakan oleh aplikasi. Laluan itu dipilih oleh sistem pengendalian, oleh senarai domain dalam profil VPN, dan kadangkala oleh pelayar.

Pilih dua nama dan ramalkan kedua-dua jawapan dahulu

Minta satu nama ujian dalaman yang didokumenkan daripada pemilik rangkaian, dan pilih nama awam biasa yang tidak memberitahu apa-apa tentang organisasi. Tuliskan apa yang sepatutnya berlaku bagi setiap satu sebelum menjalankan apa-apa: nama dalaman sepatutnya sampai ke resolver terowong dan memulangkan alamat dalaman, manakala nama awam sepatutnya diselesaikan melalui resolver yang biasa digunakan oleh sistem. Kedua-dua ramalan itulah ujiannya, kerana tanpanya apa-apa jawapan boleh dijustifikasikan kemudian. Kekalkan pasangan itu sama antara percubaan supaya perbandingan kemudian bermakna.

Semak peraturan yang berkesan, bukan yang dimaksudkan. Senarai domain yang dilampirkan pada sambungan VPN menentukan akhiran mana pergi ke resolver mana, dan salah taip dalam senarai itu menghasilkan pemisahan yang munasabah tetapi salah. Pada peranti terurus, gunakan laluan diagnostik pentadbir, kerana penggantian setempat boleh ditetapkan semula oleh dasar pada semakan seterusnya.

Catat ramalan di sebelah jawapan yang diperhatikan dalam tiket yang sama. Ujian tanpa ramalan tidak boleh gagal, dan ujian yang tidak boleh gagal tidak mengajar apa-apa.

Uji laluan yang digunakan oleh aplikasi, bukan satu pelayan yang anda pilih

Perintah yang menamakan resolver secara eksplisit menguji resolver itu sahaja dan tidak yang lain. Ia memberitahu sama ada pelayan dalaman menjawab, yang berguna, dan ia tidak memberitahu sama ada aplikasi menghantar nama itu ke sana. Uji dahulu melalui laluan biasa: selesaikan nama dalaman seperti yang akan dilakukan oleh aplikasi, kemudian selesaikan nama awam dengan cara yang sama. Selepas itu barulah tanya pelayan tertentu untuk mencari di mana tingkah laku berbeza.

Pelayar merumitkan gambaran, kerana tetapan DNS selamat boleh memintas resolver sistem sepenuhnya. Pelayar yang dikonfigurasikan dengan resolver tersulit sendiri tidak pernah nampak pemisahan itu, dan kegagalan kelihatan seperti profil VPN yang rosak. Semak tetapan itu sebelum menukar terowong.

Ulang carian selepas menyambung semula jika persoalannya ialah pemulihan. Jawapan yang dicache dari sebelum sambung semula boleh membuat pemisahan yang dipulihkan dengan betul kelihatan lebih baik atau lebih buruk daripada sebenarnya.

Catat kategori jawapan, bukan hanya berjaya atau gagal

Tuliskan yang mana antara empat perkara berlaku: alamat dalaman, alamat awam, jawapan negatif, atau tamat masa. Setiap satu mempunyai makna berbeza. Alamat dalaman untuk nama dalaman ialah kejayaan yang dijangka; alamat awam untuk nama dalaman mencadangkan pertanyaan itu keluar dari terowong; jawapan negatif daripada pelayan berautoriti menunjuk kepada rekod yang hilang dan bukan kesalahan penghalaan; dan tamat masa menunjukkan masalah kebolehcapaian atau resolver yang tidak pernah menerima pertanyaan itu. Berjaya dan gagal terlalu kasar untuk ditindaklanjuti.

Ambil kira cache sebelum mentafsir pertanyaan segar yang tiada, kerana jawapan negatif dalam cache kelihatan sama dengan nama yang tidak wujud. Tangkap jawapan sebelum membersihkan apa-apa melalui kawalan yang disokong, kerana jawapan pertama itu buktinya.

Tafsirkan kedua-dua cabang tanpa meneka

Jika nama dalaman diselesaikan dengan betul dan aplikasi masih gagal, resolver telah menjalankan tugasnya dan suspek seterusnya ialah laluan dan kebenaran pada sumber itu sendiri. Jika nama peribadi sampai ke resolver awam, peraturan pemisahan tidak digunakan pada carian itu, jadi semak semula senarai domain dan mana-mana dasar pelayar bersama pemilik ruang nama. Kedua-dua cabang itu mempunyai pemilik berbeza, sebab itulah merekodkan cabang mana yang anda lihat lebih penting daripada merekodkan bahawa sesuatu telah rosak.

Sembunyikan data sensitif dalam output kongsi sambil mengekalkan strukturnya: ruang nama mana, peraturan mana, kategori jawapan mana. Jawapan resolver boleh membawa alamat dalaman dan nama hos, dan tiket ialah rumah tahan lama untuk kedua-duanya.

Kemudian serahkan hasilnya kepada pemilik ruang nama dengan dua kategori yang anda perhatikan dan nama yang telah dibuang. Itu perbualan lima minit dan bukannya seminggu spekulasi.