VPN anda menolak tiga pelayan DNS: yang mana menjawab?

Buka halaman tetapan selepas menyambung dan tiga alamat DNS disenaraikan; soalan audit ialah yang mana mengendalikan pertanyaan terakhir anda. Jumlahnya sahaja tidak menjawab apa-apa, kerana tolakan klien, antara muka fizikal dan dasar setiap domain semuanya menulis ke paparan yang sama. Entri itu membawa skop berbeza, dan skop, bukan kedudukan, menentukan siapa menjawab. Mulakan dengan memisahkan sumber, kemudian uji yang memiliki nama yang anda pedulikan.

Mengapa senarai lebih panjang daripada profil anda

Klien VPN menolak alamat penyelesai untuk pautan terowong, dan sistem pengendalian menyimpannya di sebelah apa yang sudah dimiliki antara muka fizikal. Penghala, pajakan DHCP korporat, VPN kedua dan dasar setiap domain masing-masing menyumbang entri sendiri. Oleh itu tiga alamat pada halaman boleh bermakna tiga skop dan bukan tiga calon untuk satu tugas. Membaca jumlah itu sebagai bukti kebocoran ialah kesilapan pertama dalam audit ini.

Dalam satu antara muka, klien memang mencuba pelayan mengikut urutan, jadi senarai tersusun tidak bermakna tiada. Yang bukan baris gilir ialah paparan bergabung, tempat entri daripada profil, pautan fizikal dan peraturan setiap domain duduk bersebelahan tanpa satu kedudukan. Perbezaan itu menentukan apa yang anda uji: urutan menjelaskan tingkah laku dalam satu skop, dan skop menjelaskan segala-galanya.

DNS disulitkan memecahkan gambaran dari dalam aplikasi. Pelayar atau klien sembang dengan penyelesai DNS-over-HTTPS sendiri menghantar pertanyaan sepenuhnya melepasi senarai sistem pengendalian, jadi alamat pada halaman tetapan menerangkan trafik yang aplikasi tidak pernah jana. Semak tetapan penyelesai aplikasi itu sendiri sebelum menyalahkan profil atas nama yang keluar salah.

Apa yang dikatakan setiap satu daripada tiga semakan

Setiap sumber meninggalkan kesannya di tempat berbeza, dan tiada satu arahan menunjukkan semuanya. Inilah pemetaan yang wajar disimpan di sebelah halaman tetapan:

Pada sistem yang menggunakan systemd-resolved, resolvectl status ialah rujukan, kerana ia melaporkan DNS setiap pautan bersama domain penghalaan. macOS menjawab melalui scutil --dns, yang menyenaraikan penyelesai berskop mengikut urutan percubaan. Windows membahagikan dua separuh: Get-DnsClientServerAddress untuk pelayan setiap antara muka dan Get-DnsClientNrptPolicy untuk peraturan akhiran. Jalankan arahan yang tergolong dalam penyelesai yang benar-benar digunakan, kerana mesin dengan masa jalan kontena dan penyelesai desktop boleh mempunyai lebih daripada satu dipasang.

Penyelesai sandaran yang tidak dapat menjawab zon anda

Entri kedua biasanya ada untuk ketersediaan, dan ketersediaan hanya berfungsi jika sandaran mengetahui nama. Tanya penyelesai awam nama hos dalaman dan ia mengembalikan NXDOMAIN, atau jawapan kad liar daripada domain carian yang tiada kaitan dengan anda. Failover yang tiada siapa periksa kemudian menghasilkan gangguan tepat pada saat ia diperlukan.

Split DNS wujud untuk menghalangnya: akhiran syarikat pergi kepada penyelesai yang memegang zon, dan nama awam kekal di laluan lalai. Reka bentuknya kukuh, dan ia bergantung pada senarai akhiran yang lengkap. Microsoft mendokumenkan dasar penyelesai setiap akhiran yang memandu ini di Windows, dan idea yang sama muncul sebagai domain penghalaan dalam systemd-resolved dan sebagai penyelesai berskop pada macOS.

Bandingkan zon yang boleh dijawab oleh sandaran dengan akhiran yang ada dalam dasar. Perbandingan itu menemui jurang sebelum pengguna melaporkan bahawa satu laman dalaman berhenti diselesaikan selepas perubahan terowong.

Tanya melalui dasar, bukan di sekelilingnya

Tanya melalui penyelesai sistem pengendalian, kerana pertanyaan langsung kepada pelayan memintas dasar dan hanya melaporkan apa yang pelayan itu akan katakan. Jurang antara dua jawapan itulah intinya:

resolvectl query intranet.example.com
dig +short intranet.example.com @198.51.100.53

Jika pertanyaan sistem mengembalikan alamat peribadi manakala pertanyaan langsung mengembalikan NXDOMAIN, dasar berfungsi dan sandaran ialah titik lemah. Jika kedua-duanya mengembalikan jawapan awam yang sama, nama itu diselesaikan di luar skop yang anda maksudkan, dan senarai akhiran ialah tempat untuk melihat. Simpan kedua-dua output, kerana perdebatan penyelesai lebih cepat selesai dengan dua baris daripada tangkapan skrin halaman tetapan.

Kemudian latih laluan kegagalan, kerana sandaran yang tiada siapa uji hanyalah andaian. Jadikan penyelesai pilihan sebagai lubang hitam untuk satu pertanyaan dan perhatikan alamat mana yang kembali:

ip route add blackhole 198.51.100.53/32
resolvectl query intranet.example.com
ip route del blackhole 198.51.100.53/32

Padam laluan itu sebaik sahaja pertanyaan selesai, atau orang seterusnya mewarisi misteri. Jika nama dalaman masih diselesaikan dalam tetingkap itu, sesuatu di luar skop yang dimaksudkan menjawabnya. Jika ia sebaliknya tamat masa, sandaran tiada atau berskop dengan betul, dan log penyelesai itu sendiri memberitahu anda yang mana satu daripadanya.

Putuskan: kekalkan, hadkan atau buang

Kekalkan penyelesai kedua apabila ia menjawab ruang nama yang anda perlukan dan kekal boleh dicapai di bawah profil. Hadkan apabila ia sepatutnya hanya melihat satu akhiran dan tiada yang lain, dan buang apabila ia tiada skop atau tujuan yang didokumenkan. Entri tanpa kerja ialah kebocoran masa depan tanpa faedah, dan nilai lalai vendor bukan tujuan.

Catat hasilnya sebagai empat lajur: akhiran, penyelesai, antara muka dan pemilik. Baris itu menjawab soalan audit seterusnya lebih cepat daripada mana-mana tangkapan skrin, dan ia bertahan terhadap kemas kini klien yang menyusun semula senarai secara senyap.