Il-VPN tiegħek tibgħat tliet servers DNS: liema wieħed iwieġeb?

Iftaħ il-paġna tas-settings wara li tqabbad u jidhru tliet indirizzi DNS; il-mistoqsija tal-awditjar hija liema waħda trattat l-aħħar mistoqsija tiegħek. In-numru waħdu ma jwieġeb xejn, għax imbuttatura tal-klijent, interface fiżika u politika għal kull dominju kollha jiktbu fl-istess veduta. Dawn l-entrati jġorru ambjenti differenti, u l-ambitu, mhux il-pożizzjoni, jiddeċiedi min iwieġeb. Ibda billi tifred is-sorsi, imbagħad ipprova dak li għandu l-isem li jimpurtak.

Għaliex il-lista itwal mill-profil tiegħek

Klijent VPN jimbutta indirizzi tar-resolver għall-ħolqa tat-tunnel, u s-sistema operattiva żżommhom ħdejn dak li l-interface fiżika kellha diġà. Router, kiri DHCP korporattiv, it-tieni VPN u politika għal kull dominju kull wieħed iżid l-entrata tiegħu. Għalhekk tliet indirizzi fuq il-paġna jistgħu jfissru tliet ambjenti minflok tliet kandidati għal biċċa xogħol waħda. Li taqra n-numru bħala prova ta’ tnixxija hija l-ewwel żball f’dan l-awditjar.

Ġewwa interface waħda il-klijent tabilħaqq jipprova s-servers tiegħu bl-ordni, għalhekk lista ordnata mhijiex bla sens. Dak li mhuwiex kju hija l-veduta magħquda, fejn l-entrati mill-profil, mill-ħolqa fiżika u mir-regoli għal kull dominju joqogħdu ħdejn xulxin mingħajr rank wieħed. Dik id-distinzjoni tiddeċiedi x’tipprova: l-ordni jispjega l-imġiba ġewwa ambitu wieħed, u l-ambitu jispjega kollox ieħor.

DNS kriptat ikisser ix-xena minn ġewwa applikazzjoni. Browser jew klijent taċ-chat bir-resolver DNS-over-HTTPS tiegħu jibgħat mistoqsijiet għal kollox barra mill-lista tas-sistema operattiva, għalhekk l-indirizzi fuq il-paġna tas-settings jiddeskrivu traffiku li l-app qatt ma ġġenerat. Iċċekkja s-setting tar-resolver tal-app stess qabel ma tagħti l-ħtija lill-profil għal isem li ħażin ħareġ.

X’jgħid kull wieħed mit-tliet verifiki

Kull sors iħalli l-marka tiegħu f’post differenti, u l-ebda kmand wieħed ma jurihom kollha. Din hija l-mapping li jiswa li tinżamm ħdejn il-paġna tas-settings:

Fuq sistema li tuża systemd-resolved, resolvectl status hija awtorevoli, għax tirrapporta DNS għal kull ħolqa flimkien mad-dominji tar-routing. macOS twieġeb permezz ta’ scutil --dns, li telenka r-resolvers bl-ambitu fl-ordni tal-prova tagħhom. Windows taqsam iż-żewġ nofsijiet: Get-DnsClientServerAddress għas-servers għal kull interface u Get-DnsClientNrptPolicy għar-regoli tas-suffiss. Mexxi l-kmand li jappartjeni lir-resolver li qed jintuża fil-fatt, għax magna b’runtime tal-container u resolver tad-desktop tista’ jkollha aktar minn wieħed installat.

Resolver ta’ riżerva li ma jistax iwieġeb għaż-żona tiegħek

It-tieni entrata normalment hemm għad-disponibbiltà, u d-disponibbiltà taħdem biss jekk ir-riserva taf l-ismijiet. Staqsi resolver pubbliku għal isem ta’ host intern u jirritorna NXDOMAIN, jew tweġiba wildcard minn dominju ta’ tiftix li m’għandu x’jaqsam xejn miegħek. Failover li ħadd ma vverifika mbagħad joħloq waqfa eżatt fil-mument li jkun meħtieġ.

Split DNS jeżisti biex jipprevjeni dan: is-suffissi tal-kumpanija jmorru għand resolver li għandu ż-żona, u l-ismijiet pubbliċi jibqgħu fit-triq default. Id-disinn huwa sod, u jiddependi mill-fatt li l-lista tas-suffissi tkun kompleta. Microsoft tiddokumenta l-politika tar-resolver għal kull suffiss li tmexxi dan fuq Windows, u l-istess idea tidher bħala dominji tar-routing f’systemd-resolved u bħala resolvers bl-ambitu fuq macOS.

Qabbel iż-żoni li r-riserva tista’ twieġeb għalihom mas-suffissi preżenti fil-politika. Dak it-tqabbil isib il-vojt qabel ma utent jirrapporta li sit intern wieħed waqaf jiġi riżolt wara bidla fit-tunnel.

Staqsi permezz tal-politika, mhux madwarha

Staqsi permezz tar-resolver tas-sistema operattiva, għax mistoqsija diretta lil server tgħaddi mill-politika u tirrapporta biss dak li jgħid dak is-server. Il-vojt bejn iż-żewġ tweġibiet huwa l-punt kollu:

resolvectl query intranet.example.com
dig +short intranet.example.com @198.51.100.53

Jekk il-mistoqsija tas-sistema tirritorna indirizz privat waqt li l-mistoqsija diretta tirritorna NXDOMAIN, il-politika qed taħdem u r-riserva hija l-punt dgħajjef. Jekk it-tnejn jirritornaw l-istess tweġiba pubblika, l-isem qed jiġi riżolt barra mill-ambitu li ħsibt, u l-lista tas-suffissi hija l-post fejn wieħed iħares. Żomm iż-żewġ outputs, għax dibattitu dwar resolver jinqata’ aktar malajr b’żewġ linji milli b’screenshot tal-paġna tas-settings.

Imbagħad ipprattika t-triq tal-falliment, għax riżerva li ħadd ma ttestja hija suppożizzjoni. Agħmel ir-resolver preferut toqba sewda għal mistoqsija waħda u osservi liema indirizz jerġa’ lura:

ip route add blackhole 198.51.100.53/32
resolvectl query intranet.example.com
ip route del blackhole 198.51.100.53/32

Ħassar dik ir-rotta hekk kif il-mistoqsija tispiċċa, inkella l-persuna li jmiss tiret misteru. Jekk l-ismijiet interni għadhom jiġu riżolti f’dik it-tieqa, xi ħaġa barra mill-ambitu maħsub wiġbithom. Jekk minflok jiskadu, ir-riserva hija neqsin jew hija skoperta kif suppost, u l-log tar-resolver stess jgħidlek liema miż-żewġ kienet.

Iddeċiedi: żomm, illimita jew neħħi

Żomm tieni resolver meta jwieġeb għall-ispazju tal-ismijiet li għandek bżonn u jibqa’ aċċessibbli taħt il-profil. Illimitah meta għandu jara suffiss wieħed u xejn ieħor, u neħħih meta m’għandux ambitu u lanqas skop dokumentat. Entrata mingħajr xogħol hija tnixxija futura mingħajr benefiċċju, u l-default tal-fornitur mhuwiex skop.

Irreġistra r-riżultat f’erba’ kolonni: suffiss, resolver, interface u sid. Dik il-linja twieġeb il-mistoqsija tal-awditjar li jmiss aktar malajr minn kwalunkwe screenshot, u tibqa’ ħajja wara l-aġġornament tal-klijent li jerġa’ jordna l-lista bil-kwiet.