Подељени тунел искључује прегледач, не његове DNS упите

Прегледач је искључен из тунела, страница јавне IP потврђује да његов саобраћај излази преко кућне везе, а интерни вики се ипак не отвара. Разрешавање имена отишло је на друго место, а то друго место је обично резолвер који је подесио VPN. Путања података и путања резолвера су одвојене одлуке у већини дизајна подељеног тунела. Проверите коју је прегледач заиста користио пре него што искључивање назовете поквареним.

Путања података и путања резолвера се раздвајају

Искључивање уклања пакете апликације из тунела, што је одлука о рутирању и заштитном зиду на путањи података. Разрешавање имена је друга претрага: процес пита системски резолвер, и тај резолвер одлучује који сервер прима питање.

Обе могу бити намерне и различите. Радно распоређивање може задржати интерне просторе имена на корпоративном резолверу, а изабрано јавно прегледање слати изван тунела, управо зато што се интерна имена нигде другде не разрешавају. Збуњујући случај је обрнут: јавни сајт не успева јер прегледач никада није питао резолвер који је распоређивање очекивало. Запишите путању и резолвер одвојено, и половина расправа нестаје.

Откријте који процес поставља питање

Прегледач може користити системски резолвер, сопствену шифровану DNS службу или резолвер који оперативни систем додељује за сваку мрежу. Први прати политику платформе, други потпуно заобилази ту политику, а трећи зависи од тога на коју се везу упућује упит.

resolvectl status
resolvectl query intranet.example.net
dig +short +time=2 intranet.example.net @10.52.0.2
scutil --dns | head -n 40

Прочитајте важећу конфигурацију пре тестирања: које везе носе DNS сервере, које просторе имена захтевају и да ли политика по имену надјачава подразумевано. На Linux-у подељени DNS користи домене рутирања; на Windows-у табела политике разрешавања имена чини исто за просторе имена. Ни једно се не види са странице теста цурења.

Одлучите који резолвер види које име

Запишите планирано мапирање пре него што било шта промените: интерна имена ка корпоративном резолверу, јавна имена ка служби коју политика дозвољава, и изузеци са одговорним лицем. Без тог списка, свака ознака теста цурења постаје политичка расправа коју нико не може да затвори.

Затим проверите сопствено подешавање прегледача, јер се шифровани DNS у прегледачу примењује пре него што оперативни систем прими упит. Корисник који га је укључио да заобиђе портал за задржавање тихо је надјачао резолвер који је изабрало распоређивање. То је одлука о конфигурацији, а не цурење, и заслужује одлуку, а не списак за блокирање.

Не преписујте свако DNS поље да би једна тест ознака постала зелена. Ознака описује један упит једног процеса у једном тренутку.

Проверите упит и везу одвојено

Тестирајте обе путање независно. Тест везе показује путању података, а тест резолвера показује ко је примио име.

curl -sS --max-time 8 https://api.ipify.org
resolvectl query example.net
dig +short example.net

Питајте резолвер и експлицитно, да би се неуспех приписао серверу, а не путањи. Затим поново покрените прегледач и поновите, јер апликације кеширају негативне одговоре и стари неуспех изгледа трајно.

После одобрене промене запишите путању података и примаоца резолвера као два одвојена реда са датумом. Ако се понашање врати при следећем повезивању, треба поправити профил који га даје, не прегледач.