Teste delt DNS uten å lekke interne navn

Å spørre en offentlig resolver om et internt navn lekker navnet og hopper over regelen du ville teste. Spørringen når en server du ikke kontrollerer, svaret kommer fra et navnerom som ikke skulle ha sett det, og resultatet sier ingenting om hvorvidt delt DNS virker. Å teste delt DNS betyr å teste resolverbanen en applikasjon faktisk bruker. Den banen velges av operativsystemet, av domenelisten i VPN-profilen og noen ganger av nettleseren.

Velg to navn og forutsi begge svarene først

Be nettverkseieren om ett dokumentert internt testnavn, og velg et vanlig offentlig navn som ikke sier noe om organisasjonen. Skriv ned hva som bør skje for hvert av dem før du kjører noe: det interne navnet bør nå tunnelens resolver og returnere en intern adresse, mens det offentlige navnet bør slås opp via resolveren systemet vanligvis bruker. De to forutsigelsene er selve testen, for uten dem kan ethvert svar bortforklares i ettertid. Hold paret fast på tvers av kjøringer, slik at en senere sammenligning betyr noe.

Kontroller de faktiske reglene, ikke de tiltenkte. Domenelisten som er knyttet til VPN-tilkoblingen, avgjør hvilke suffikser som går til hvilken resolver, og en skrivefeil i den listen gir en plausibel, men feil deling. På en administrert enhet bør du bruke administratorens diagnostiske bane, siden lokale overstyringer kan tilbakestilles av policy ved neste kontroll.

Skriv forutsigelsen ved siden av det observerte svaret i samme sak. En test uten forutsigelse kan ikke feile, og en test som ikke kan feile lærer ingenting.

Test banen applikasjonen bruker, ikke én server du selv valgte

En kommando som navngir en resolver eksplisitt, tester den resolveren og ingenting annet. Den forteller om den interne serveren svarer, noe som er nyttig, og den forteller ikke om en applikasjon sender navnet dit. Test først gjennom den normale banen: slå opp det interne navnet slik en applikasjon ville gjort, og slå deretter opp det offentlige navnet på samme måte. Først etterpå bør du spørre bestemte servere for å finne hvor atferden avviker.

Nettlesere kompliserer bildet, fordi innstillinger for sikker DNS helt kan omgå systemets resolver. En nettleser som er konfigurert med sin egen krypterte resolver, ser aldri delingen, og feilen ser ut som en ødelagt VPN-profil. Kontroller den innstillingen før du endrer tunnelen.

Gjenta oppslaget etter tilkobling på nytt hvis spørsmålet er gjenoppretting. Et svar som er bufret fra før tilkoblingen på nytt kan få en korrekt gjenopprettet deling til å se bedre eller verre ut enn den er.

Registrer svarkategorien, ikke bare suksess eller fiasko

Skriv ned hvilken av fire ting som skjedde: en intern adresse, en offentlig adresse, et negativt svar eller en tidsavbrudd. Hver av dem betyr noe forskjellig. En intern adresse for det interne navnet er den forventede suksessen; en offentlig adresse for et internt navn tyder på at spørringen forlot tunnelen; et negativt svar fra den autoritative serveren peker på en manglende post snarere enn en rutingfeil; og en tidsavbrudd indikerer et tilgjengelighetsproblem eller en resolver som aldri mottok spørringen. Suksess og fiasko er for grove til å handle på.

Ta hensyn til hurtigbufferen før du tolker en manglende fersk spørring, fordi et negativt svar i hurtigbufferen ser identisk ut med et navn som ikke finnes. Ta vare på svaret før du rydder noe via støttede kontroller, siden det første svaret er beviset.

Tolk de to grenene uten å gjette

Hvis det interne navnet slås opp riktig og applikasjonen fortsatt feiler, gjorde resolveren jobben sin, og de neste mistenkte er ruter og tillatelser på selve ressursen. Hvis det private navnet nådde en offentlig resolver, brukes ikke delingsregelen på det oppslaget, så gå gjennom domenelisten og enhver nettleserpolicy sammen med eieren av navnerommet. De to grenene har forskjellige eiere, og derfor er det viktigere å registrere hvilken du så enn å registrere at noe gikk i stykker.

Fjern følsomme opplysninger fra delt utdata, men behold strukturen: hvilket navnerom, hvilken regel, hvilken svarkategori. Et resolversvar kan inneholde interne adresser og vertsnavn, og en sak er et varig hjem for begge.

Overlever deretter resultatet til eieren av navnerommet med de to kategoriene du observerte og navnene fjernet. Det er en samtale på fem minutter i stedet for en uke med gjetting.