Razdeljeni tunel izključi brskalnik, ne njegovih poizvedb DNS

Brskalnik izključen iz tunela, stran z javnim IP naslovom potrjuje, da njegov promet odhaja prek domače povezave, notranji wiki pa se še vedno ne odpre. Razreševanje imen je šlo drugam, in ta drugam je običajno razreševalnik, ki ga je nastavil VPN. Pot podatkov in pot razreševalnika sta v večini zasnov razdeljenega tunela ločeni odločitvi. Preverite, katero je brskalnik dejansko uporabil, preden izključitev razglasite za pokvarjeno.

Pot podatkov in pot razreševalnika se ločita

Izključitev odstrani pakete aplikacije iz tunela, kar je odločitev o usmerjanju in požarnem zidu na poti podatkov. Razreševanje imen je drugo iskanje: proces vpraša sistemski razreševalnik, in ta razreševalnik odloči, kateri strežnik prejme vprašanje.

Oboje je lahko namerno in različno. Delovna uvedba lahko obdrži notranje imenske prostore pri poslovnem razreševalniku, medtem ko izbrano javno brskanje pošilja izven tunela, prav zato ker se notranja imena nikjer drugje ne razrešujejo. Zavajajoč je obraten primer: javno spletišče odpove, ker brskalnik nikoli ni vprašal razreševalnika, ki ga je uvedba pričakovala. Zapišite pot in razreševalnik ločeno, in polovica razprav izgine.

Ugotovite, kateri proces postavi vprašanje

Brskalnik lahko uporabi sistemski razreševalnik, lastno storitev šifriranega DNS ali razreševalnik, ki ga operacijski sistem dodeli za vsako omrežje. Prvi sledi politiki platforme, drugi to politiko popolnoma obide, tretji pa je odvisen od tega, na katero povezavo je poizvedba usmerjena.

resolvectl status
resolvectl query intranet.example.net
dig +short +time=2 intranet.example.net @10.52.0.2
scutil --dns | head -n 40

Pred preskušanjem preberite veljavno konfiguracijo: katere povezave nosijo strežnike DNS, katere imenske prostore zahtevajo in ali politika za posamezno ime prepiše privzeto. V Linuxu razdeljeni DNS uporablja usmerjevalne domene; v Windowsu tabela pravil razreševanja imen naredi isto za imenske prostore. Nobenega ni videti s strani preizkusa uhajanja.

Odločite, kateri razreševalnik vidi katero ime

Preden karkoli spremenite, zapišite predvideno preslikavo: notranja imena k poslovnemu razreševalniku, javna imena k storitvi, ki jo politika dovoli, in izjeme z odgovorno osebo. Brez tega seznama vsaka oznaka preizkusa uhajanja postane politična razprava, ki je nihče ne more zaključiti.

Nato preverite nastavitev samega brskalnika, ker se šifriran DNS v brskalniku uporabi preden operacijski sistem prejme poizvedbo. Uporabnik, ki ga je vklopil, da bi obšel portal za zadržanje, je tiho prepisal razreševalnik, ki ga je izbrala uvedba. To je odločitev o konfiguraciji in ne uhajanje, in si zasluži odločitev, ne seznama blokad.

Ne prepisujte vsakega polja DNS, da bi ena preskusna oznaka postala zelena. Oznaka opisuje eno poizvedbo enega procesa v enem trenutku.

Preverite poizvedbo in povezavo ločeno

Preskusite obe poti neodvisno. Preskus povezave pokaže pot podatkov, preskus razreševalnika pa pokaže, kdo je prejel ime.

curl -sS --max-time 8 https://api.ipify.org
resolvectl query example.net
dig +short example.net

Vprašajte razreševalnik tudi izrecno, da se napaka pripiše strežniku in ne poti. Nato znova zaženite brskalnik in ponovite, ker aplikacije predpomnijo negativne odgovore in star neuspeh je videti trajen.

Po odobreni spremembi zapišite pot podatkov in prejemnika razreševalnika kot dve ločeni vrstici z datumom. Če se vedenje vrne ob naslednji povezavi, je treba popraviti profil, ki ga zagotavlja, ne brskalnika.