Test úniku DNS: názov resolvera nie je trasa

Názov resolvera vám nepovie, či DNS obišlo tunel. Rozhodnite sa, akú politiku ste chceli, a potom porovnajte príjemcu, trasu a výnimky.

Tri usporiadania sa považujú za správny DNS pre používateľa VPN: dopyty na resolver operátora, dopyty na šifrovaný resolver, ktorý ste si vybrali, a split DNS, ktorý posiela pracovné názvy organizácii. Test úniku hlási jeden resolver a ten jediný štítok vám nepovie, ktoré usporiadanie skutočne máte. Najprv rozhodnite zamýšľanú politiku, potom testujte voči nej. Inak porovnávate číslo s pocitom.

Rozhodnite sa, čo ste chceli, skôr než si prečítate výsledok

Pomenujte politiku jednou vetou: všetky názvy na VPN resolver, všetky názvy na zvolený šifrovaný resolver alebo split DNS s internými názvami idúcimi do organizácie. Každá je obhájiteľná pre iného používateľa a každá dáva inú očakávanú odpoveď. Bez tej vety každý výsledok odlišný od snímky obrazovky v príspevku na fóre vyzerá alarmujúco. Napíšte politiku pred prvým testom.

Test vykonaný pred definovaním politiky nič nemeria. Vydá názov resolvera bez akéhokoľvek referenčného bodu.

Názov resolvera nedokazuje ani cestu, ani príjemcu

Záležia dve otázky: kto dostal dopyt a ktorá trasa ho niesla. K resolveru tretej strany sa dá dostať cez tunel, zatiaľ čo obrazovka nastavení zobrazuje adresu poskytovateľa. Štítok na stránke testu úniku opisuje pohľad pozorovateľa, nie vašu smerovaciu tabuľku.

Prehliadač môže používať vlastný šifrovaný DNS, kým premávka stránky ide cez tunel, a odpovede z vyrovnávacej pamäte môžu umožniť načítanie stránky bez nového vyhľadania. Preto výsledok verejnej IP nehovorí o DNS nič. DoH a DoT chránia dopyt na ceste k resolveru a ten resolver stále vidí názvy.

resolvectl status
resolvectl query example.com
dig +short example.com

Split DNS robí viac resolverov správnymi

Organizácia môže posielať interné názvy do vlastného DNS a všetko ostatné inam. Test, ktorý uvádza viac resolverov, preto môže opisovať zamýšľanú politiku a nie poruchu. Pred vypnutím čohokoľvek porovnajte pozorovanú množinu s zdokumentovanými pravidlami split DNS. Vypnutie interného resolvera, aby testovacia stránka vyzerala čistejšie, pokazí súkromné názvy.

Split tunneling a split DNS sú rozdielne voľby: jeden smeruje pakety, druhý smeruje otázky. Zmena trasy tunela nepohne vyhľadaním názvu a zmena resolvera neopraví cestu webovej stránky. IPv6 je tretia otázka, pretože neúmyselné IPv6 pripojenie nie je automaticky únik DNS.

Premeňte výsledok na vyšetrovanie

Pred testovaním zaznamenajte zamýšľanú politiku a nastavenie bezpečného DNS prehliadača. Spustite test s aktívnym tunelom, poznačte každý resolver, ktorý uvedie, a porovnajte množinu s politikou a nie s jednou očakávanou adresou.

Zopakujte po opätovnom pripojení, ak sa príznak objaví vtedy, pretože politika uplatnená pri pripojení sa môže neskôr stratiť. Pre interné výnimky DNS použite dokumentáciu klienta namiesto hádania nastavení.

Opravte zistený nesúlad: voľbu prehliadača, nastavenie DNS vo VPN alebo pravidlo split DNS. Ak sa dopyty majú zastaviť pri zlyhaní tunela, kill switch je samostatné nastavenie a samotná konfigurácia DNS ho neposkytne. Špecifikácia RFC 8484 je užitočná, keď potrebujete vysvetliť, čo šifrovaný resolver skrýva a čo nie.

Súvisiace články