DNS-läckagetest: ett resolver-namn är inte rutten

Tre uppsättningar räknas som korrekt DNS för en VPN-användare: frågor till operatörens resolver, frågor till en krypterad resolver du valt, och split DNS som skickar arbetsnamn till organisationen. Ett läckagetest rapporterar en resolver, och den enda etiketten kan inte berätta vilken uppsättning du faktiskt har. Bestäm den avsedda policyn först och testa sedan mot den. Annars jämför du ett tal med en känsla.

Bestäm vad du ville innan du läser resultatet

Namnge policyn i en mening: alla namn till VPN-resolvern, alla namn till en vald krypterad resolver, eller split DNS med interna namn som går till organisationen. Var och en är försvarbar för olika användare, och var och en ger ett annat förväntat svar. Utan den meningen verkar varje resultat som skiljer sig från en skärmbild i ett foruminlägg alarmerande. Skriv ner policyn före det första testet.

Ett test som görs innan policyn är definierad mäter ingenting. Det ger ett resolver-namn utan någon referenspunkt.

Ett resolver-namn bevisar varken vägen eller mottagaren

Två frågor spelar roll: vem som tog emot frågan och vilken rutt som bar den. En tredjepartsresolver kan nås genom tunneln medan en inställningsskärm visar leverantörens adress. Etiketten på en läckagetestsida beskriver betraktarens vy, inte din routingtabell.

En webbläsare kan använda sin egen krypterade DNS medan webbplatsens trafik går genom tunneln, och cachade svar kan låta en sida laddas utan en ny sökning. Därför säger ett resultat för offentlig IP ingenting om DNS. DoH och DoT skyddar frågan på vägen till resolvern, och den resolvern ser fortfarande namnen.

resolvectl status
resolvectl query example.com
dig +short example.com

Split DNS gör flera resolvrar korrekta

En organisation kan skicka interna namn till sin egen DNS och allt annat någon annanstans. Ett test som listar flera resolvrar kan därför beskriva den avsedda policyn och inte ett fel. Jämför den observerade mängden med de dokumenterade split DNS-reglerna innan du inaktiverar något. Att stänga av den interna resolvern för att en testsida ska se renare ut bryter privata namn.

Split tunneling och split DNS är olika val: den ena dirigerar paket, den andra dirigerar frågor. Att ändra en tunnelrutt flyttar inte en namnsökning, och att byta resolver reparerar inte en webbplatsväg. IPv6 är en tredje fråga, eftersom en oavsiktlig IPv6-anslutning inte automatiskt är en DNS-läcka.

Gör resultatet till en undersökning

Anteckna den avsedda policyn och webbläsarens säkra DNS-inställning före testet. Kör testet med tunneln aktiv, notera varje resolver det namnger och jämför mängden med policyn och inte med en enda förväntad adress.

Upprepa efter en återanslutning om symtomet visar sig då, eftersom en policy som tillämpas vid anslutning kan gå förlorad senare. Använd klientens dokumentation för interna DNS-undantag i stället för att gissa inställningarna.

Åtgärda den avvikelse du hittade: ett webbläsarval, en DNS-inställning i VPN:en eller en split DNS-regel. Om frågorna måste stoppas när tunneln fallerar är kill switch en separat inställning, och DNS-konfigurationen ensam ger den inte. Specifikationen RFC 8484 är användbar när du behöver förklara vad en krypterad resolver döljer och inte döljer.