Тест цурења DNS-а: назив резолвера није рута

Три поставке се сматрају исправним DNS-ом за корисника VPN-а: упити ка резолверу оператера, упити ка шифрованом резолверу који сте сами изабрали и split DNS који радна имена шаље организацији. Тест цурења пријављује један резолвер, а та једна ознака не може вам рећи коју поставку заиста имате. Прво одлучите предвиђену политику, затим тестирајте према њој. У супротном поредите број са осећајем.

Одлучите шта сте желели пре него што прочитате резултат

Назовите политику у једној реченици: сва имена ка VPN резолверу, сва имена ка изабраном шифрованом резолверу или split DNS са унутрашњим именима која иду ка организацији. Свака је одбрањива за другог корисника и свака даје другачији очекивани одговор. Без те реченице, сваки резултат који се разликује од снимка екрана у објави на форуму изгледа забрињавајуће. Запишите политику пре првог теста.

Тест извршен пре него што је политика дефинисана не мери ништа. Он даје назив резолвера без икакве референтне тачке.

Назив резолвера не доказује ни пут ни примаоца

Важна су два питања: ко је примио упит и која рута га је пренела. До резолвера треће стране може се стићи кроз тунел док екран подешавања приказује адресу провајдера. Ознака на страници теста цурења описује поглед посматрача, не вашу табелу рутирања.

Прегледач може користити сопствени шифровани DNS док саобраћај сајта иде кроз тунел, а кеширани одговори могу омогућити учитавање странице без новог претраживања. Зато резултат јавне IP адресе ништа не говори о DNS-у. DoH и DoT штите упит на путу до резолвера, а тај резолвер ипак види имена.

resolvectl status
resolvectl query example.com
dig +short example.com

Split DNS чини више резолвера исправним

Организација може слати унутрашња имена ка свом DNS-у, а све остало негде другде. Зато тест који наводи неколико резолвера може описивати предвиђену политику, а не квар. Упоредите запажени скуп са документованим правилима split DNS-а пре него што нешто искључите. Искључивање унутрашњег резолвера да би тест страница изгледала чистије квари приватна имена.

Split tunneling и split DNS су различити избори: један рутира пакете, други рутира питања. Промена руте тунела не помера претрагу имена, а промена резолвера не поправља пут веб-сајта. IPv6 је треће питање, јер ненамерна IPv6 веза није аутоматски цурење DNS-а.

Претворите резултат у истрагу

Запишите предвиђену политику и подешавање безбедног DNS-а прегледача пре тестирања. Извршите тест са активним тунелом, забележите сваки резолвер који наведе и упоредите скуп са политиком, а не са једном очекиваном адресом.

Поновите након поновног повезивања ако се симптом тада појављује, јер политика примењена при повезивању може касније да се изгуби. За унутрашње DNS изузетке користите документацију клијента уместо да погађате подешавања.

Исправите неусклађеност коју сте нашли: избор прегледача, VPN DNS подешавање или правило split DNS-а. Ако упити морају да се зауставе када тунел откаже, kill switch је засебно подешавање и сама DNS конфигурација га не пружа. Спецификација RFC 8484 је корисна када треба да објасните шта шифровани резолвер скрива, а шта не.