Test de scurgere DNS: numele resolverului nu este ruta

Trei aranjamente contează ca DNS corect pentru un utilizator de VPN: interogări către resolverul operatorului, interogări către un resolver criptat ales de dumneavoastră și split DNS care trimite numele de lucru către organizație. Un test de scurgere raportează un singur resolver, iar acea singură etichetă nu vă poate spune ce aranjament aveți de fapt. Decideți mai întâi politica intenționată, apoi testați față de ea. Altfel comparați un număr cu o senzație.

Decideți ce ați dorit înainte de a citi rezultatul

Numiți politica într-o singură propoziție: toate numele către resolverul VPN, toate numele către un resolver criptat ales sau split DNS cu numele interne mergând către organizație. Fiecare este justificabilă pentru un alt utilizator și fiecare produce un răspuns așteptat diferit. Fără acea propoziție, orice rezultat care diferă de o captură de ecran dintr-o postare pe forum pare alarmant. Scrieți politica înainte de primul test.

Un test efectuat înainte de definirea politicii nu măsoară nimic. Produce un nume de resolver fără niciun punct de referință.

Numele resolverului nu dovedește nici calea, nici destinatarul

Contează două întrebări: cine a primit interogarea și ce rută a transportat-o. Un resolver terț poate fi atins prin tunel în timp ce ecranul de setări arată adresa furnizorului. Eticheta de pe o pagină de test de scurgere descrie vederea observatorului, nu tabela dumneavoastră de rutare.

Un browser poate folosi propriul DNS criptat în timp ce traficul site-ului trece prin tunel, iar răspunsurile din cache pot lăsa o pagină să se încarce fără o căutare nouă. De aceea un rezultat de IP public nu spune nimic despre DNS. DoH și DoT protejează interogarea în drum spre resolver, iar acel resolver vede în continuare numele.

resolvectl status
resolvectl query example.com
dig +short example.com

Split DNS face mai multe resolvere corecte

O organizație poate trimite numele interne către propriul DNS și tot restul în altă parte. Un test care enumeră mai multe resolvere poate deci descrie politica intenționată, nu o defecțiune. Comparați setul observat cu regulile split DNS documentate înainte de a dezactiva ceva. Oprirea resolverului intern pentru ca pagina de test să arate mai curat strică numele private.

Split tunneling și split DNS sunt alegeri diferite: unul rută pachete, celălalt rută întrebări. Schimbarea unei rute a tunelului nu mută o căutare de nume, iar schimbarea resolverului nu repară calea unui site. IPv6 este o a treia întrebare, deoarece o conexiune IPv6 nedorită nu este automat o scurgere DNS.

Transformați rezultatul într-o investigație

Înregistrați politica intenționată și setarea DNS securizat a browserului înainte de test. Rulați testul cu tunelul activ, notați fiecare resolver pe care îl numește și comparați setul cu politica, nu cu o singură adresă așteptată.

Repetați după o reconectare dacă atunci apare simptomul, deoarece o politică aplicată la conectare poate fi pierdută mai târziu. Folosiți documentația clientului pentru excepțiile DNS interne în loc să ghiciți setările.

Remediați nepotrivirea găsită: o alegere a browserului, o setare DNS a VPN sau o regulă split DNS. Dacă interogările trebuie să se oprească atunci când tunelul eșuează, kill switch este o setare separată, iar configurația DNS singură nu o oferă. Specificația RFC 8484 este utilă când trebuie să explicați ce ascunde și ce nu ascunde un resolver criptat.