Zachytenie Split-DNS: povedzte, kde bolo urobené každé pozorovanie

Dvaja ľudia riešia ten istý problém Split-DNS a dostanú rôzne adresy resolvera. Jeden použil nástroj na vyhľadávanie, druhý zachytával pakety na adaptéri a tretí si prečítal vlastnú diagnostiku klienta. Ani jeden neklame a ani jeden neopisuje tú istú fázu. Pomenovanie miesta pozorovania premení rozpor na mapu.

Jeden dopyt, niekoľko miest pozorovania

Pre jedno interné meno existuje najmenej päť miest, kam sa pozrieť: aplikácia a API resolvera, ktoré volá, platná doménová politika na klientovi, zachytávanie na adaptéri alebo filtri, riadená hranica brány a resolver, ktorý dopyt skutočne prijme.

Každé z nich odpovedá na inú otázku a žiadne samo o sebe nedokazuje, kam dopyt odišiel.

Zachytávanie na adaptéri ukazuje pakety, nie úmysel. Nehovorí, ktorý resolver klient zvolil, a prázdne zachytávanie môže znamenať odpoveď z vyrovnávacej pamäte alebo iné API resolvera, a nie zahodený paket. Každé pozorovanie berte ako dôkaz o jednej fáze. Potom fázy zložte do cesty.

Filter klienta stojí medzi aplikáciou a káblom

VPN klient so Split-DNS uplatňuje porovnávanie domén skôr, než paket opustí počítač. Mená v tunelovanej prípone idú k internému resolveru; všetko ostatné ide k miestnemu. Filter je politika a politika sa môže líšiť podľa platformy a verzie klienta.

Pokyny Secure Client pre Split-DNS od Cisco pokrývajú porovnávanie domén a filter Windows a oddeľujú to, čo aplikácia vidí pri použití natívneho API resolvera, od toho, čo vidí nástroj ako nslookup. Práve tie rozdiely sú podstatné.

Začnite od platného profilu a jedného bežného dopytu aplikácie. Každý test, ktorý menuje konkrétny server, je úmyselnou obchádzkou; vysvetlite ho vlastnou diagnostikou klienta a nedovoľte, aby sa stal kritériom prijatia.

nslookup ide inou cestou ako aplikácia

nslookup zostavuje vlastný DNS dopyt a môže obísť politiku resolvera operačného systému. To z neho robí užitočný nástroj na položenie konkrétnej otázky konkrétnemu serveru a zavádzajúci nástroj na testovanie toho, čo aplikácia zažije.

Vo Windows rozhoduje tabuľka politiky prekladu mien o tom, ktorá prípona používa ktorý server. Jej prečítanie ukáže politiku, ktorou sa bude aplikácia riadiť, a to je často chýbajúci dielik.

Prečítajte politiku a potom položte rovnakú otázku cez bežný resolver:

Get-DnsClientNrptPolicy
Resolve-DnsName intranet.hq.example

Šifrované resolvery skrývajú dopyt, nie spojenie

Prehliadač s vlastným resolverom DNS-over-HTTPS je úplne iný prípad. Dopyt odchádza vnútri TLS, takže zachytávanie paketov ukáže spojenie s adresou resolvera, ale nie meno, na ktoré sa pýtame.

Najprv zistite spravovanú politiku prehliadača a potom ju porovnajte s dopytom operačného systému. Prehliadač, ktorému je dovolené vybrať si vlastný resolver, nemusí politiku Split-DNS vôbec vidieť.

Rovnaká opatrnosť platí pre každého klienta, ktorý dodáva vlastný resolver. Zachytávanie, ktoré identifikuje vzdialené spojenie, nie je dôkazom o mene dopytu. Ak meno potrebujete, vezmite ho z vlastných záznamov resolvera alebo z diagnostiky aplikácie, s platnými pravidlami súkromia.

Porovnajte s označeným testom

Vyberte schválené interné meno na testovanie a k tomu verejné meno, ktoré neobsahuje žiadny citlivý význam. Pre každé zaznamenajte čas, typ záznamu, odpoveď a politiku, ktorú ste očakávali.

Kde je to dovolené, porovnajte prijatie v resolveri s jediným úzkym pozorovaním klienta alebo brány:

nslookup intranet.hq.example 10.55.0.53
Get-DnsClientNrptPolicy | Format-List

Nikdy neposielajte súkromné mená nesúvisiacim verejným resolverom len preto, aby ste vytvorili porovnanie, a redigujte všetko, čo zdieľate. Nakoniec oddeľte správnu DNS odpoveď od nadväzujúceho spojenia so službou: preložená súkromná adresa stále potrebuje trasu a oprávnenie aplikácie.