Test curenja DNS-a: naziv resolvera nije ruta

Tri se postave računaju kao ispravan DNS za korisnika VPN-a: upiti na operaterov resolver, upiti na šifrirani resolver koji ste sami odabrali i split DNS koji radna imena šalje u organizaciju. Test curenja prijavljuje resolver, a ta jedna oznaka ne može reći koju postavu zapravo imate. Najprije odredite namjeravanu politiku, pa je testirajte. Inače uspoređujete broj s osjećajem.

Odredite što ste željeli prije nego što pročitate rezultat

Nazovite politiku jednom rečenicom: sva imena na VPN resolver, sva imena na odabrani šifrirani resolver ili split DNS s internim imenima koja idu u organizaciju. Svaka je održiva za drugog korisnika i svaka daje drukčiji očekivani odgovor. Bez te rečenice svaki rezultat koji se razlikuje od snimke zaslona u forumskoj objavi izgleda alarmantno. Zapišite politiku prije prvog testa.

Test proveden prije nego što je politika definirana ne mjeri ništa. Daje naziv resolvera bez ijedne referentne točke.

Naziv resolvera ne dokazuje ni put ni primatelja

Dva su pitanja važna: tko je primio upit i koja ga je ruta nosila. Do resolvera treće strane može se doći kroz tunel dok zaslon postavki pokazuje adresu davatelja. Oznaka na stranici testa curenja opisuje pogled promatrača, a ne vašu tablicu usmjeravanja.

Preglednik može koristiti vlastiti šifrirani DNS dok promet s web-mjesta ide kroz tunel, a odgovori iz predmemorije mogu omogućiti učitavanje stranice bez novog upita. Zato rezultat javne IP adrese ne govori ništa o DNS-u. DoH i DoT štite upit na putu do resolvera, a taj resolver i dalje vidi imena.

resolvectl status
resolvectl query example.com
dig +short example.com

Split DNS čini više resolvera ispravnima

Organizacija može slati interna imena na svoj DNS, a sve ostalo negdje drugdje. Test koji navodi nekoliko resolvera zato može opisivati namjeravanu politiku, a ne kvar. Usporedite uočeni skup s dokumentiranim pravilima split DNS-a prije nego što bilo što isključite. Isključivanje internog resolvera da bi testna stranica izgledala čišće kvari privatna imena.

Split tunneling i split DNS različite su odluke: jedno usmjerava pakete, drugo usmjerava pitanja. Promjena rute tunela ne pomiče pretragu imena, a promjena resolvera ne popravlja put do web-mjesta. IPv6 je treće pitanje jer nenamjerna IPv6 veza nije automatski curenje DNS-a.

Pretvorite rezultat u istragu

Zabilježite namjeravanu politiku i postavku sigurnog DNS-a u pregledniku prije testiranja. Pokrenite test s aktivnim tunelom, zabilježite svaki resolver koji navede i usporedite skup s politikom, a ne s jednom očekivanom adresom.

Ponovite nakon ponovnog povezivanja ako se simptom tada pojavljuje, jer se politika primijenjena pri povezivanju može kasnije izgubiti. Koristite dokumentaciju klijenta za interne DNS iznimke umjesto da nagađate postavke.

Ispravite neusklađenost koju ste našli: izbor u pregledniku, VPN DNS postavku ili pravilo split DNS-a. Ako upiti moraju stati kad tunel zakaže, kill switch je zasebna postavka i sama DNS konfiguracija je neće osigurati. Specifikacija RFC 8484 korisna je kada trebate objasniti što šifrirani resolver skriva, a što ne.