Rozdelený tunel vylučuje prehliadač, nie jeho DNS otázky

Prehliadač vylúčený z tunela, stránka s verejnou IP potvrdzuje, že jeho prevádzka odchádza domácim pripojením, a interná wiki sa napriek tomu neotvorí. Preklad názvov šiel inam a to inam je zvyčajne resolver, ktorý nastavila VPN. Dátová cesta a cesta resolvera sú vo väčšine návrhov rozdeleného tunela oddelené rozhodnutia. Overte, ktorú prehliadač skutočne použil, skôr než vylúčenie označíte za pokazené.

Dátová cesta a cesta resolvera sa rozdeľujú

Vylúčenie odoberie pakety aplikácie z tunela, čo je rozhodnutie o smerovaní a firewalle na dátovej ceste. Preklad názvov je iné hľadanie: proces sa pýta systémového resolvera a ten resolver rozhoduje, ktorý server otázku dostane.

Oboje môže byť zámerné a rozdielne. Pracovné nasadenie môže držať interné menné priestory na podnikovom resolveri a vybrané verejné prehliadanie posielať mimo tunela, práve preto, že interné názvy sa nikde inde neprekladajú. Mätúci prípad je opačný: verejná stránka zlyhá, lebo prehliadač sa nikdy neopýtal resolvera, ktorého nasadenie očakávalo. Zapíšte trasu a resolver oddelene a polovica sporov zmizne.

Zistite, ktorý proces kladie otázku

Prehliadač môže použiť systémový resolver, vlastnú službu šifrovaného DNS alebo resolver, ktorý operačný systém priradí pre každú sieť. Prvý nasleduje politiku platformy, druhý túto politiku úplne obchádza a tretí závisí od toho, na ktoré spojenie je otázka smerovaná.

resolvectl status
resolvectl query intranet.example.net
dig +short +time=2 intranet.example.net @10.52.0.2
scutil --dns | head -n 40

Pred testovaním si prečítajte platnú konfiguráciu: ktoré spojenia nesú DNS servery, aké menné priestory si nárokujú a či politika pre jednotlivé názvy prepisuje predvolenú hodnotu. V Linuxe rozdelený DNS používa smerovacie domény; v Windows tabuľka zásad prekladu názvov robí to isté pre menné priestory. Ani jedno nie je vidieť zo stránky testu úniku.

Rozhodnite, ktorý resolver vidí ktorý názov

Skôr než čokoľvek zmeníte, zapíšte zamýšľané mapovanie: interné názvy k podnikovému resolveru, verejné názvy k službe, ktorú politika dovolí, a výnimky s vlastníkom. Bez tohto zoznamu sa každá značka testu úniku stane politickým sporom, ktorý nikto nevie uzavrieť.

Potom skontrolujte vlastné nastavenie prehliadača, pretože šifrované DNS v prehliadači sa uplatní skôr, než operačný systém otázku dostane. Používateľ, ktorý ho zapol, aby obišiel captive portál, ticho prepísal resolver, ktorý nasadenie vybralo. To je rozhodnutie o konfigurácii, nie únik, a zaslúži si rozhodnutie, nie blocklist.

Neprepisujte každé pole DNS, aby jedna testovacia značka zo zelene. Značka opisuje jednu otázku jedného procesu v jednom okamihu.

Overte otázku a pripojenie oddelene

Testujte obe cesty nezávisle. Test pripojenia ukazuje dátovú trasu a test resolvera ukazuje, kto názov dostal.

curl -sS --max-time 8 https://api.ipify.org
resolvectl query example.net
dig +short example.net

Opýtajte sa resolvera aj výslovne, aby sa zlyhanie dalo pripísať serveru, a nie ceste. Potom reštartujte prehliadač a zopakujte, pretože aplikácie kešujú negatívne odpovede a staré zlyhanie vyzerá trvalo.

Po schválenej zmene zapíšte dátovú trasu a príjemcu resolvera ako dva samostatné riadky s dátumom. Ak sa správanie pri ďalšom pripojení vráti, opraviť treba profil, ktorý ho dodáva, nie prehliadač.