Gesplitste DNS testen zonder interne namen te lekken

Een interne naam opvragen bij een publieke resolver lekt de naam en slaat de regel over die je wilde testen. De query bereikt een server die je niet beheert, het antwoord komt uit een naamruimte die het nooit had mogen zien, en het resultaat zegt niets over of gesplitste DNS werkt. Gesplitste DNS testen betekent het resolverpad testen dat een toepassing echt gebruikt. Dat pad wordt gekozen door het besturingssysteem, door de domeinenlijst in het VPN-profiel en soms door de browser.

Kies twee namen en voorspel eerst beide antwoorden

Vraag de netwerkbeheerder om één gedocumenteerde interne testnaam en kies een gewone publieke naam die niets over de organisatie zegt. Schrijf voordat je iets uitvoert op wat er voor elk zou moeten gebeuren: de interne naam zou de resolver van de tunnel moeten bereiken en een intern adres teruggeven, terwijl de publieke naam zou moeten worden opgelost via de resolver die het systeem normaal gebruikt. Die twee voorspellingen zijn de test, want zonder hen kan elk antwoord achteraf worden goedgepraat. Houd het paar tussen runs gelijk, zodat een latere vergelijking iets betekent.

Controleer de werkelijke regels, niet de bedoelde. De domeinenlijst die aan de VPN-verbinding hangt bepaalt welke suffixen naar welke resolver gaan, en een typefout in die lijst levert een plausibele maar verkeerde splitsing op. Gebruik op een beheerd apparaat het diagnose pad van de beheerder, omdat lokale overschrijvingen bij de volgende controle door beleid kunnen worden teruggezet.

Noteer de voorspelling naast het waargenomen antwoord in hetzelfde ticket. Een test zonder voorspelling kan niet mislukken, en een test die niet kan mislukken leert niets.

Test het pad dat de toepassing gebruikt, niet één server die je zelf koos

Een opdracht die een resolver expliciet noemt, test die resolver en niets anders. Het vertelt of de interne server antwoordt, wat nuttig is, en het vertelt niet of een toepassing de naam daarheen stuurt. Test eerst via het normale pad: los de interne naam op zoals een toepassing dat zou doen, en los daarna de publieke naam op dezelfde manier op. Pas daarna vraag je specifieke servers om te vinden waar het gedrag afwijkt.

Browsers maken het beeld ingewikkelder, omdat instellingen voor veilige DNS de systeemresolver volledig kunnen omzeilen. Een browser die met zijn eigen versleutelde resolver is geconfigureerd, ziet de splitsing nooit, en de fout lijkt op een kapot VPN-profiel. Controleer die instelling voordat je de tunnel wijzigt.

Herhaal de opzoeking na opnieuw verbinden als herstel de vraag is. Een antwoord uit de cache van voor het opnieuw verbinden kan een correct herstelde splitsing beter of slechter laten lijken dan hij is.

Leg de antwoordcategorie vast, niet alleen succes of mislukking

Schrijf op welke van vier dingen er gebeurde: een intern adres, een publiek adres, een negatief antwoord of een time-out. Elk heeft een andere betekenis. Een intern adres voor de interne naam is het verwachte succes; een publiek adres voor een interne naam wijst erop dat de query de tunnel heeft verlaten; een negatief antwoord van de gezaghebbende server wijst op een ontbrekend record in plaats van een routeringsfout; en een time-out duidt op een bereikbaarheidsprobleem of een resolver die de query nooit heeft ontvangen. Succes en mislukking zijn te grof om op te handelen.

Houd rekening met de cache voordat je een ontbrekende verse query interpreteert, want een negatief antwoord in de cache ziet er identiek uit als een naam die niet bestaat. Leg het antwoord vast voordat je iets wist met ondersteunde middelen, want het eerste antwoord is het bewijs.

Interpreteer de twee takken zonder te gissen

Als de interne naam correct wordt opgelost en de toepassing faalt nog steeds, heeft de resolver zijn werk gedaan en zijn de volgende verdachten routes en machtigingen op de bron zelf. Als de privénaam een publieke resolver heeft bereikt, wordt de splitsingsregel niet op die opzoeking toegepast, dus bekijk de domeinenlijst en elk browserbeleid samen met de eigenaar van de naamruimte. Die twee takken hebben verschillende eigenaren, en daarom is het belangrijker om vast te leggen welke je zag dan om vast te leggen dat er iets kapot ging.

Verberg gevoelige gegevens in gedeelde uitvoer maar behoud de structuur: welke naamruimte, welke regel, welke antwoordcategorie. Een resolversantwoord kan interne adressen en hostnamen bevatten, en een ticket is een duurzaam thuis voor beide.

Geef het resultaat daarna aan de eigenaar van de naamruimte met de twee categorieën die je hebt waargenomen en de namen verwijderd. Dat is een gesprek van vijf minuten in plaats van een week speculatie.