Testovanie rozdeleného DNS bez úniku interných mien

Dotaz na interné meno u verejného resolvera ho prezradí a obíde pravidlo, ktoré ste chceli otestovať. Dotaz sa dostane na server, ktorý neovládate, odpoveď prichádza z menného priestoru, ktorý ho vôbec nemal vidieť, a výsledok nič nehovorí o tom, či rozdelený DNS funguje. Testovať rozdelený DNS znamená testovať cestu resolvera, ktorú aplikácia skutočne používa. Tú cestu vyberá operačný systém, zoznam domén v profile VPN a niekedy aj prehliadač.

Vyberte dve mená a najprv predpovedzte obe odpovede

Požiadajte vlastníka siete o jedno zdokumentované interné testovacie meno a vyberte bežné verejné meno, ktoré o organizácii nič neprezradí. Pred spustením čohokoľvek si zapíšte, čo sa má stať pri každom z nich: interné meno má doraziť do resolvera tunela a vrátiť internú adresu, zatiaľ čo verejné meno sa má preložiť cez resolver, ktorý systém bežne používa. Tieto dve predpovede sú test, pretože bez nich sa každá odpoveď dá dodatočne zdôvodniť. Udržujte dvojicu medzi behmi nezmenenú, aby neskoršie porovnanie niečo znamenalo.

Kontrolujte skutočné pravidlá, nie zamýšľané. Zoznam domén pripojený k pripojeniu VPN rozhoduje, ktoré prípony idú ku ktorému resolveru, a preklep v tomto zozname vytvorí vierohodné, ale nesprávne rozdelenie. Na spravovanom zariadení použite diagnostickú cestu správcu, pretože miestne prepisy môžu byť pri ďalšej kontrole resetované zásadami.

Zapíšte predpoveď vedľa pozorovanej odpovede v tom istom tikete. Test bez predpovede nemôže zlyhať a test, ktorý nemôže zlyhať, nič nenaučí.

Testujte cestu, ktorú používa aplikácia, nie jeden vami zvolený server

Príkaz, ktorý výslovne uvádza resolver, testuje iba tento resolver a nič iné. Povie vám, či interný server odpovedá, čo je užitočné, a nepovie, či tam aplikácia posiela meno. Najprv testujte bežnou cestou: preložte interné meno tak, ako by to urobila aplikácia, a potom rovnakým spôsobom preložte verejné meno. Až potom sa pýtajte konkrétnych serverov, kde sa správanie rozchádza.

Prehliadače obrázok komplikujú, pretože nastavenia zabezpečeného DNS môžu systémový resolver úplne obísť. Prehliadač nakonfigurovaný s vlastným šifrovaným resolverom rozdelenie nikdy nevidí a porucha vyzerá ako pokazený profil VPN. Skontrolujte toto nastavenie, kým zmeníte tunel.

Zopakujte vyhľadanie po opätovnom pripojení, ak je otázkou obnova. Odpoveď uložená v medzipamäti z času pred pripojením môže správne obnovené rozdelenie ukázať lepšie alebo horšie, než je.

Zaznamenajte kategóriu odpovede, nielen úspech alebo zlyhanie

Zapíšte, ktorá zo štyroch vecí nastala: interná adresa, verejná adresa, negatívna odpoveď alebo vypršanie času. Každá má iný význam. Interná adresa pre interné meno je očakávaný úspech; verejná adresa pre interné meno naznačuje, že dotaz opustil tunel; negatívna odpoveď od autoritatívneho servera ukazuje na chýbajúci záznam, nie na chybu smerovania; a vypršanie času znamená problém s dostupnosťou alebo resolver, ktorý dotaz nikdy nedostal. Úspech a zlyhanie sú príliš hrubé na to, aby sa podľa nich konalo.

Počítajte s medzipamäťou, kým interpretujete chýbajúci čerstvý dotaz, pretože negatívna odpoveď v medzipamäti vyzerá rovnako ako neexistujúce meno. Zachyťte odpoveď pred tým, než čokoľvek vymažete podporovanými nástrojmi, pretože prvá odpoveď je dôkaz.

Interpretujte obe vetvy bez hádania

Ak sa interné meno preloží správne a aplikácia stále zlyháva, resolver urobil svoju prácu a ďalšími podozrivými sú trasy a oprávnenia na samotnom zdroji. Ak sa súkromné meno dostalo k verejnému resolveru, pravidlo rozdelenia sa na toto vyhľadanie neuplatňuje, preto s vlastníkom menného priestoru prejdite zoznam domén a prípadné zásady prehliadača. Tieto dve vetvy majú rôznych vlastníkov, a preto je dôležitejšie zaznamenať, ktorú ste videli, než zaznamenať, že sa niečo pokazilo.

Redigujte zdieľaný výstup a zachovajte štruktúru: ktorý menný priestor, ktoré pravidlo, ktorá kategória odpovede. Odpoveď resolvera môže niesť interné adresy a názvy hostiteľov a tiket je trvalým domovom pre oboje.

Potom odovzdajte výsledok vlastníkovi menného priestoru s dvoma pozorovanými kategóriami a odstránenými menami. To je päťminútový rozhovor namiesto týždňa špekulácií.