DNS-lekkasjetest: Eit resolver-namn er ikkje ruta

Tre ordningar blir rekna som rett DNS for ein VPN-brukar: spørjingar til resolvaren til operatøren, spørjingar til ein kryptert resolver du har valt, og split DNS som sender arbeidsnamn til organisasjonen. Ein lekktest rapporterer éin resolver, og den eine etiketten kan ikkje fortelje kva ordning du faktisk har. Avgjer den tiltenkte politikken først, og test så mot han. Elles samanliknar du eit tal med ei kjensle.

Avgjer kva du ville ha før du les resultatet

Namngje politikken i éi setning: alle namn til VPN-resolvaren, alle namn til ein vald kryptert resolver, eller split DNS med interne namn som går til organisasjonen. Kvar er forsvarleg for ein annan brukar, og kvar gjev eit anna venta svar. Utan den setninga verkar eitkvart resultat som skil seg frå eit skjermbilde i eit foruminnlegg, alarmerande. Skriv ned politikken før den første testen.

Ein test som blir utført før politikken er definert, måler ingenting. Han gjev eit resolver-namn utan noko referansepunkt.

Eit resolver-namn provar korkje ruta eller mottakaren

To spørsmål tel: kven som tok imot spørjinga, og kva for rute som bar henne. Ein tredjepartsresolver kan ein nå gjennom tunnelen medan ein innstillingarskjerm viser adressa til leverandøren. Etiketten på ei lekktestside skildrar synet til observatøren, ikkje rutetabellen din.

Ein nettlesar kan bruke sin eigen krypterte DNS medan trafikken til nettstaden går gjennom tunnelen, og bufra svar kan la ei side lastast utan eit nytt oppslag. Difor seier eit offentleg IP-resultat ingenting om DNS. DoH og DoT vernar spørjinga på vegen til resolvaren, og den resolvaren ser framleis namna.

resolvectl status
resolvectl query example.com
dig +short example.com

Split DNS gjer fleire resolverar rette

Ein organisasjon kan sende interne namn til sin eigen DNS og alt anna ein annan stad. Ein test som listar opp fleire resolverar kan difor skildre den tiltenkte politikken og ikkje ein feil. Samanlikn settet du observerer, med dei dokumenterte split DNS-reglane før du slår av noko. Å slå av den interne resolvaren for å få ei testside til å sjå reinare ut, bryt private namn.

Split tunneling og split DNS er ulike val: den eine rutar pakkar, den andre rutar spørsmål. Å endre ei tunnelrute flyttar ikkje eit namneoppslag, og å endre resolvaren reparerer ikkje ein nettstadveg. IPv6 er eit tredje spørsmål, sidan ei utilsikta IPv6-tilkopling ikkje automatisk er ein DNS-lekkasje.

Gjer resultatet om til ei gransking

Registrer den tiltenkte politikken og den trygge DNS-innstillinga til nettlesaren før du testar. Køyr testen med tunnelen aktiv, noter kvar resolver han namngjev, og samanlikn settet med politikken og ikkje med éi venta adresse.

Gjenta etter ei attilkopling viss symptomet dukkar opp då, fordi ein politikk som blir brukt ved tilkopling, kan gå tapt seinare. Bruk dokumentasjonen til klienten for interne DNS-unntak i staden for å gjette på innstillingane.

Rett opp avviket du fann: eit nettlesarval, ei VPN-DNS-innstilling eller ein split DNS-regel. Viss spørjingar må stoppe når tunnelen sviktar, er kill switch ei separat innstilling, og DNS-konfigurasjon åleine gjev henne ikkje. RFC 8484-spesifikasjonen er nyttig når du må forklare kva ein kryptert resolver skjuler og ikkje skjuler.