Preizkušanje razdeljenega DNS brez uhajanja notranjih imen

Poizvedba po notranjem imenu pri javnem resolverju ga razkrije in izpusti pravilo, ki ste ga želeli preizkusiti. Poizvedba doseže strežnik, ki ga ne nadzorujete, odgovor prihaja iz imenskega prostora, ki ga ne bi smel videti, in rezultat ne pove ničesar o tem, ali razdeljeni DNS deluje. Preizkušati razdeljeni DNS pomeni preizkušati pot resolverja, ki jo aplikacija dejansko uporablja. To pot izbere operacijski sistem, seznam domen v profilu VPN in včasih brskalnik.

Izberite dve imeni in najprej napovejte oba odgovora

Prositi lastnika omrežja za eno dokumentirano notranje testno ime in izberite običajno javno ime, ki o organizaciji ne pove ničesar. Preden karkoli zaženete, zapišite, kaj naj bi se zgodilo pri vsakem: notranje ime naj bi doseglo resolver tunela in vrnilo notranji naslov, javno ime pa naj bi se razrešilo prek resolverja, ki ga sistem običajno uporablja. Ti dve napovedi sta preizkus, ker brez njiju lahko vsak odgovor pozneje upravičimo. Par naj ostane nespremenjen med zagoni, da bo poznejša primerjava kaj pomenila.

Preverjajte dejanska pravila, ne načrtovanih. Seznam domen, priložen povezavi VPN, določa, katere pripone gredo h kateremu resolverju, in tipkarska napaka na tem seznamu ustvari verjetno, a napačno razdelitev. Na upravljani napravi uporabite diagnostično pot skrbnika, ker se lahko lokalne prepisave ob naslednjem preverjanju ponastavijo s politiko.

Zapišite napoved ob opaženem odgovoru v isti zahtevek. Preizkus brez napovedi ne more spodleteti, preizkus, ki ne more spodleteti, pa se ničesar ne nauči.

Preizkusite pot, ki jo uporablja aplikacija, ne enega od vas izbranega strežnika

Ukaz, ki izrecno navede resolver, preizkusi samo ta resolver in nič drugega. Pove vam, ali notranji strežnik odgovarja, kar je koristno, in ne pove, ali aplikacija pošilja ime tja. Najprej preizkusite po običajni poti: razrešite notranje ime tako, kot bi to storila aplikacija, nato na enak način razrešite javno ime. Šele nato vprašajte določene strežnike, da ugotovite, kje se vedenje razlikuje.

Brskalniki zapletejo sliko, ker lahko nastavitve varnega DNS popolnoma obidejo sistemski resolver. Brskalnik, nastavljen z lastnim šifriranim resolverjem, delitve nikoli ne vidi, in okvara je videti kot pokvarjen profil VPN. Preverite to nastavitev, preden spremenite tunel.

Ponovite iskanje po ponovni povezavi, če je vprašanje obnovitev. Odgovor iz predpomnilnika iz časa pred ponovno povezavo lahko pravilno obnovljeno razdelitev prikaže boljšo ali slabšo, kot je.

Zabeležite kategorijo odgovora, ne le uspeh ali neuspeh

Zapišite, katera od štirih stvari se je zgodila: notranji naslov, javni naslov, negativen odgovor ali časovna prekoračitev. Vsaka ima drug pomen. Notranji naslov za notranje ime je pričakovani uspeh; javni naslov za notranje ime nakazuje, da je poizvedba zapustila tunel; negativen odgovor avtoritativnega strežnika kaže na manjkajoč zapis, ne na napako usmerjanja; časovna prekoračitev pa kaže na težavo z dosegljivostjo ali resolver, ki poizvedbe ni nikoli prejel. Uspeh in neuspeh sta preveč groba, da bi ukrepali po njima.

Upoštevajte predpomnilnik, preden razložite manjkajočo svežo poizvedbo, ker je negativen odgovor v predpomnilniku videti enako kot neobstoječe ime. Zabeležite odgovor, preden karkoli počistite s podprtimi kontrolami, ker je prvi odgovor dokaz.

Razložite obe veji brez ugibanja

Če se notranje ime razreši pravilno in aplikacija še vedno ne uspe, je resolver opravil svoje delo, naslednji sumljivci pa so poti in dovoljenja na samem viru. Če je zasebno ime doseglo javni resolver, pravilo delitve ne velja za to iskanje, zato z lastnikom imenskega prostora pregledajte seznam domen in morebitno politiko brskalnika. Ti dve veji imata različne lastnike, zato je pomembneje zabeležiti, katero ste videli, kot zabeležiti, da se je nekaj pokvarilo.

Skrijte občutljive dele skupnega izhoda, vendar ohranite strukturo: kateri imenski prostor, katero pravilo, katera kategorija odgovora. Odgovor resolverja lahko vsebuje notranje naslove in imena gostiteljev, zahtevek pa je trajen dom za oboje.

Nato predajte rezultat lastniku imenskega prostora z dvema opaženima kategorijama in odstranjenimi imeni. To je petminutni pogovor namesto tedna ugibanj.