ทดสอบ DNS แยกโดยไม่รั่วชื่อภายใน

การถามชื่อภายในกับ resolver สาธารณะจะทำให้ชื่อรั่วไหลและข้ามกฎที่คุณต้องการทดสอบ คำถามไปถึงเซิร์ฟเวอร์ที่คุณไม่ได้ควบคุม คำตอบมาจากเนมสเปซที่ไม่ควรได้เห็นชื่อนั้นเลย และผลลัพธ์ไม่ได้บอกอะไรว่าตัว DNS แยกทำงานหรือไม่ การทดสอบ DNS แยกหมายถึงการทดสอบเส้นทาง resolver ที่แอปพลิเคชันใช้จริง เส้นทางนั้นถูกเลือกโดยระบบปฏิบัติการ โดยรายการโดเมนในโปรไฟล์ VPN และบางครั้งโดยเบราว์เซอร์

เลือกสองชื่อและคาดการณ์คำตอบทั้งสองก่อน

ขอชื่อทดสอบภายในที่บันทึกไว้หนึ่งชื่อจากเจ้าของเครือข่าย และเลือกชื่อสาธารณะธรรมดาที่ไม่บอกอะไรเกี่ยวกับองค์กร เขียนว่าควรเกิดอะไรขึ้นกับแต่ละชื่อก่อนจะรันอะไร: ชื่อภายในควรไปถึง resolver ของอุโมงค์และคืนที่อยู่ภายใน ส่วนชื่อสาธารณะควรถูกแก้ผ่าน resolver ที่ระบบใช้ตามปกติ การคาดการณ์สองข้อนั้นคือการทดสอบ เพราะถ้าไม่มีมัน คำตอบใดก็สามารถหาเหตุผลมาอธิบายภายหลังได้ คงคู่ชื่อให้เหมือนเดิมระหว่างการรันแต่ละครั้ง เพื่อให้การเปรียบเทียบภายหลังมีความหมาย

ตรวจสอบกฎที่มีผลจริง ไม่ใช่กฎที่ตั้งใจไว้ รายการโดเมนที่ผูกกับการเชื่อมต่อ VPN กำหนดว่าคำต่อท้ายใดไปยัง resolver ใด และการพิมพ์ผิดในรายการนั้นทำให้เกิดการแยกที่ดูสมเหตุสมผลแต่ผิด บนอุปกรณ์ที่จัดการอยู่ ให้ใช้เส้นทางวินิจฉัยของผู้ดูแลระบบ เพราะการแทนที่ในเครื่องอาจถูกรีเซ็ตโดยนโยบายในการตรวจครั้งถัดไป

บันทึกการคาดการณ์ไว้ข้างคำตอบที่สังเกตได้ในตั๋วเดียวกัน การทดสอบที่ไม่มีการคาดการณ์ล้มเหลวไม่ได้ และการทดสอบที่ล้มเหลวไม่ได้ก็ไม่สอนอะไร

ทดสอบเส้นทางที่แอปพลิเคชันใช้ ไม่ใช่เซิร์ฟเวอร์หนึ่งที่คุณเลือกเอง

คำสั่งที่ระบุ resolver อย่างชัดเจนทดสอบเฉพาะ resolver นั้นและไม่ทดสอบอย่างอื่น มันบอกว่าเซิร์ฟเวอร์ภายในตอบหรือไม่ ซึ่งมีประโยชน์ และไม่บอกว่าแอปพลิเคชันส่งชื่อไปที่นั่นหรือไม่ ทดสอบผ่านเส้นทางปกติก่อน: แก้ชื่อภายในเหมือนที่แอปพลิเคชันจะทำ แล้วแก้ชื่อสาธารณะด้วยวิธีเดียวกัน หลังจากนั้นจึงถามเซิร์ฟเวอร์เฉพาะเพื่อหาว่าพฤติกรรมแตกต่างกันตรงไหน

เบราว์เซอร์ทำให้ภาพซับซ้อนขึ้น เพราะการตั้งค่า DNS ที่ปลอดภัยสามารถข้าม resolver ของระบบได้ทั้งหมด เบราว์เซอร์ที่ตั้งค่าด้วย resolver เข้ารหัสของตัวเองจะไม่เห็นการแยกเลย และความล้มเหลวดูเหมือนโปรไฟล์ VPN ที่เสีย ตรวจสอบการตั้งค่านั้นก่อนเปลี่ยนอุโมงค์

ทำการค้นซ้ำหลังเชื่อมต่อใหม่หากคำถามคือการกู้คืน คำตอบที่แคชไว้จากก่อนเชื่อมต่อใหม่อาจทำให้การแยกที่กู้คืนถูกต้องดูดีหรือแย่กว่าความเป็นจริง

บันทึกหมวดหมู่ของคำตอบ ไม่ใช่แค่สำเร็จหรือล้มเหลว

เขียนว่าหนึ่งในสี่สิ่งนี้เกิดขึ้น: ที่อยู่ภายใน ที่อยู่สาธารณะ คำตอบเชิงลบ หรือหมดเวลา แต่ละอย่างมีความหมายต่างกัน ที่อยู่ภายในสำหรับชื่อภายในคือความสำเร็จที่คาดไว้ ที่อยู่สาธารณะสำหรับชื่อภายในบ่งชี้ว่าคำถามออกจากอุโมงค์ คำตอบเชิงลบจากเซิร์ฟเวอร์ที่มีอำนาจชี้ไปที่ระเบียนที่หายไปไม่ใช่ความผิดพลาดในการกำหนดเส้นทาง และการหมดเวลาบ่งชี้ปัญหาการเข้าถึงหรือ resolver ที่ไม่เคยได้รับคำถาม สำเร็จและล้มเหลวหยาบเกินกว่าจะลงมือทำ

คำนึงถึงแคชก่อนตีความการขาดคำถามใหม่ เพราะคำตอบเชิงลบที่เก็บในแคชดูเหมือนชื่อที่ไม่มีอยู่จริง บันทึกคำตอบไว้ก่อนจะล้างสิ่งใดด้วยเครื่องมือที่รองรับ เพราะคำตอบแรกคือหลักฐาน

ตีความสองสาขาโดยไม่เดา

ถ้าชื่อภายในแก้ได้ถูกต้องแต่แอปพลิเคชันยังล้มเหลว resolver ได้ทำหน้าที่แล้ว และผู้ต้องสงสัยรายต่อไปคือเส้นทางและสิทธิ์บนทรัพยากรเอง ถ้าชื่อส่วนตัวไปถึง resolver สาธารณะ กฎการแยกไม่ได้ถูกนำมาใช้กับการค้นนั้น จึงทบทวนรายการโดเมนและนโยบายเบราว์เซอร์ใด ๆ กับเจ้าของเนมสเปซ สองสาขานี้มีเจ้าของต่างกัน จึงสำคัญกว่าที่จะบันทึกว่าคุณเห็นสาขาไหน มากกว่าบันทึกว่ามีบางอย่างเสีย

ปิดบังส่วนที่ละเอียดอ่อนในเอาต์พุตที่แชร์โดยคงโครงสร้างไว้: เนมสเปซใด กฎใด หมวดหมู่คำตอบใด คำตอบของ resolver อาจมีที่อยู่ภายในและชื่อโฮสต์ และตั๋วคือบ้านที่คงทนสำหรับทั้งสองอย่าง

จากนั้นส่งผลลัพธ์ให้เจ้าของเนมสเปซพร้อมสองหมวดหมู่ที่คุณสังเกตและชื่อที่นำออกแล้ว นั่นคือบทสนท้าห้านาทีแทนการคาดเดาทั้งสัปดาห์