Test uhajanja DNS: ime resolverja ni pot

Tri ureditve veljajo za pravilen DNS za uporabnika VPN: poizvedbe do operaterjevega resolverja, poizvedbe do šifriranega resolverja, ki ste ga izbrali, in split DNS, ki delovna imena pošilja organizaciji. Test uhajanja poroča o enem resolverju in ta ena oznaka vam ne more povedati, katero ureditev v resnici imate. Najprej določite načrtovano politiko, nato preizkušajte glede na njo. Drugače primerjate število z občutkom.

Odločite se, kaj ste želeli, preden preberete rezultat

Poimenujte politiko v enem stavku: vsa imena do resolverja VPN, vsa imena do izbranega šifriranega resolverja ali split DNS z notranjimi imeni, ki gredo v organizacijo. Vsaka je upravičljiva za drugega uporabnika in vsaka daje drugačen pričakovan odgovor. Brez tega stavka vsak rezultat, ki se razlikuje od posnetka zaslona v objavi na forumu, deluje vznemirljivo. Zapišite politiko pred prvim testom.

Test, izveden preden je politika določena, ne izmeri ničesar. Dá ime resolverja brez kakršne koli referenčne točke.

Ime resolverja ne dokaže ne poti ne prejemnika

Pomembni sta dve vprašanji: kdo je prejel poizvedbo in katera pot jo je nosila. Do resolverja tretje strani je mogoče priti skozi tunel, medtem ko zaslon nastavitev prikazuje naslov ponudnika. Oznaka na strani testa uhajanja opisuje pogled opazovalca, ne vaše usmerjevalne tabele.

Brskalnik lahko uporablja svoj šifrirani DNS, medtem ko promet spletnega mesta poteka skozi tunel, in odgovori v predpomnilniku lahko omogočijo nalaganje strani brez novega iskanja. Zato rezultat javnega IP ne pove ničesar o DNS. DoH in DoT zaščitita poizvedbo na poti do resolverja, ta resolver pa še vedno vidi imena.

resolvectl status
resolvectl query example.com
dig +short example.com

Split DNS naredi več resolverjev pravilnih

Organizacija lahko notranja imena pošilja v svoj DNS, vse ostalo pa drugam. Test, ki našteva več resolverjev, zato lahko opisuje načrtovano politiko in ne napako. Preden kar koli onemogočite, primerjajte opaženo množico z dokumentiranimi pravili split DNS. Izklop notranjega resolverja, da bi testna stran izgledala čisteje, zlomi zasebna imena.

Split tunneling in split DNS sta različni izbiri: eden usmerja pakete, drugi usmerja vprašanja. Sprememba poti tunela ne premakne iskanja imena, sprememba resolverja pa ne popravi poti spletnega mesta. IPv6 je tretje vprašanje, ker nenamerna povezava IPv6 ni samodejno uhajanje DNS.

Rezultat spremenite v preiskavo

Pred testiranjem zabeležite načrtovano politiko in nastavitev varnega DNS brskalnika. Zaženite test z aktivnim tunelom, zapišite vsak resolver, ki ga navaja, in primerjajte množico s politiko in ne z enim pričakovanim naslovom.

Ponovite po ponovni povezavi, če se simptom pojavi takrat, ker se politika, uporabljena ob povezavi, lahko pozneje izgubi. Za notranje izjeme DNS uporabite dokumentacijo odjemalca, namesto da ugibate nastavitve.

Popravite ugotovljeno neskladje: izbiro brskalnika, nastavitev DNS v VPN ali pravilo split DNS. Če se morajo poizvedbe ustaviti, ko tunel odpove, je kill switch ločena nastavitev in samo konfiguracija DNS tega ne zagotovi. Specifikacija RFC 8484 je koristna, ko morate pojasniti, kaj šifriran resolver skriva in česa ne.