Test i rrjedhjes së DNS: emri i resolverit nuk është rruga

Tre rregullime konsiderohen DNS i saktë për një përdorues VPN: kërkesat drejt resolverit të operatorit, kërkesat drejt një resolveri të enkriptuar që zgjodhët vetë, dhe split DNS që dërgon emrat e punës drejt organizatës. Një test rrjedhjeje raporton një resolver, dhe ai etiketë i vetëm nuk mund t'ju thotë se cilën rregullim keni në të vërtetë. Vendosni së pari politikën e synuar, pastaj testoni kundrejt saj. Përndryshe po krahasoni një numër me një ndjenjë.

Vendosni çfarë dëshironit përpara se të lexoni rezultatin

Emërtoni politikën në një fjali: të gjithë emrat drejt resolverit të VPN, të gjithë emrat drejt një resolveri të enkriptuar të zgjedhur, ose split DNS me emra të brendshëm që shkojnë drejt organizatës. Secila është e mbrojtshme për një përdorues tjetër, dhe secila prodhon një përgjigje tjetër të pritur. Pa atë fjali, çdo rezultat që ndryshon nga një pamje ekrani në një postim forumi duket shqetësues. Shkruani politikën përpara testit të parë.

Një test i kryer përpara se politika të përcaktohet nuk mat asgjë. Ai prodhon një emër resolveri pa asnjë pikë referimi.

Emri i resolverit nuk provon as rrugën as marrësin

Dy pyetje kanë rëndësi: kush e mori kërkesën, dhe cila rrugë e transportoi. Resolveri i palës së tretë mund të arrihet përmes tunelit ndërsa ekrani i cilësimeve tregon adresën e ofruesit. Etiketa në faqen e testit të rrjedhjes përshkruan pamjen e vëzhguesit, jo tabelën tuaj të rrugëzimit.

Shfletuesi mund të përdorë DNS-në e vet të enkriptuar ndërsa trafiku i sajtit kalon nëpër tunel, dhe përgjigjet e ruajtura në cache mund të lejojnë ngarkimin e faqes pa një kërkim të ri. Kjo është arsyeja pse një rezultat i IP-së publike nuk thotë asgjë për DNS. DoH dhe DoT mbrojnë kërkesën në rrugën drejt resolverit, dhe ai resolver ende i sheh emrat.

resolvectl status
resolvectl query example.com
dig +short example.com

Split DNS i bën disa resolverë të saktë

Një organizatë mund t'i dërgojë emrat e brendshëm DNS-së së vet dhe çdo gjë tjetër diku tjetër. Prandaj një test që liston disa resolverë mund të përshkruajë politikën e synuar dhe jo një defekt. Krahasoni grupin e vëzhguar me rregullat e dokumentuara të split DNS përpara se të çaktivizoni diçka. Fikja e resolverit të brendshëm që faqja e testit të duket më e pastër prish emrat privatë.

Split tunneling dhe split DNS janë zgjedhje të ndryshme: njëri rrugëzon paketa, tjetri rrugëzon pyetje. Ndryshimi i një rruge tuneli nuk e lëviz një kërkim emri, dhe ndryshimi i resolverit nuk e rregullon rrugën e një sajti. IPv6 është pyetja e tretë, sepse një lidhje IPv6 e paqëllimshme nuk është automatikisht rrjedhje DNS.

Kthejeni rezultatin në një hetim

Regjistroni politikën e synuar dhe cilësimin e DNS-së së sigurt të shfletuesit përpara testimit. Kryeni testin me tunelin aktiv, shënoni çdo resolver që përmend, dhe krahasoni grupin me politikën dhe jo me një adresë të vetme të pritur.

Përsëriteni pas një rilidhjeje nëse simptoma shfaqet atëherë, sepse një politikë e aplikuar në momentin e lidhjes mund të humbasë më vonë. Përdorni dokumentacionin e klientit për përjashtimet e DNS-së së brendshme në vend që të hamendësoni cilësimet.

Rregulloni mospërputhjen që gjetët: një zgjedhje shfletuesi, një cilësim DNS i VPN-së ose një rregull split DNS. Nëse kërkesat duhet të ndalen kur tuneli dështon, kill switch është një cilësim i veçantë, dhe konfigurimi i DNS-së i vetëm nuk e siguron atë. Specifikimi RFC 8484 është i dobishëm kur duhet të shpjegoni çfarë fsheh dhe çfarë nuk fsheh një resolver i enkriptuar.