DNS sızıntı testi: çözümleyici adı rota değildir

Bir VPN kullanıcısı için üç düzen doğru DNS sayılır: işletmecinin çözümleyicisine sorgular, seçtiğiniz şifreli bir çözümleyiciye sorgular ve iş adlarını kuruluşa gönderen split DNS. Bir sızıntı testi tek bir çözümleyici bildirir ve bu tek etiket gerçekte hangi düzene sahip olduğunuzu söyleyemez. Önce amaçlanan politikaya karar verin, sonra ona göre test edin. Aksi halde bir sayıyı bir hisle karşılaştırıyorsunuz.

Sonucu okumadan önce ne istediğinize karar verin

Politikayı tek bir cümleyle adlandırın: tüm adlar VPN çözümleyicisine, tüm adlar seçilmiş şifreli çözümleyiciye veya iç adların kuruluşa gittiği split DNS. Her biri farklı bir kullanıcı için savunulabilir ve her biri farklı bir beklenen yanıt üretir. O cümle olmadan, bir forum gönderisindeki ekran görüntüsünden farklı her sonuç endişe verici görünür. Politikayı ilk testten önce yazın.

Politika tanımlanmadan önce yapılan bir test hiçbir şey ölçmez. Referans noktası olmayan bir çözümleyici adı üretir.

Çözümleyici adı ne yolu ne de alıcıyı kanıtlar

İki soru önemlidir: sorguyu kim aldı ve hangi rota taşıdı. Ayar ekranı sağlayıcının adresini gösterirken tünel üzerinden üçüncü taraf bir çözümleyiciye ulaşılabilir. Bir sızıntı testi sayfasındaki etiket gözlemcinin görüşünü tanımlar, sizin yönlendirme tablonuzu değil.

Tarayıcı, site trafiği tünelden geçerken kendi şifreli DNS'ini kullanabilir ve önbellekteki yanıtlar yeni bir arama olmadan sayfanın yüklenmesine izin verebilir. Bu yüzden genel IP sonucu DNS hakkında hiçbir şey söylemez. DoH ve DoT sorguyu çözümleyiciye giden yolda korur ve o çözümleyici adları yine de görür.

resolvectl status
resolvectl query example.com
dig +short example.com

Split DNS birden çok çözümleyiciyi doğru yapar

Bir kuruluş iç adları kendi DNS'ine, geri kalan her şeyi başka bir yere gönderebilir. Bu nedenle birkaç çözümleyici listeleyen bir test, arızayı değil amaçlanan politikayı tanımlıyor olabilir. Bir şeyi devre dışı bırakmadan önce gözlenen kümeyi belgelenmiş split DNS kurallarıyla karşılaştırın. Test sayfası daha temiz görünsün diye iç çözümleyiciyi kapatmak özel adları bozar.

Split tunneling ve split DNS farklı seçimlerdir: biri paketleri, diğeri soruları yönlendirir. Tünel rotasını değiştirmek bir ad aramasını taşımaz ve çözümleyiciyi değiştirmek bir web sitesi yolunu düzeltmez. IPv6 üçüncü sorudur, çünkü istenmeyen bir IPv6 bağlantısı otomatik olarak DNS sızıntısı değildir.

Sonucu bir soruşturmaya dönüştürün

Testten önce amaçlanan politikayı ve tarayıcının güvenli DNS ayarını kaydedin. Testi tünel etkinken çalıştırın, adlandırdığı her çözümleyiciyi not edin ve kümeyi tek bir beklenen adresle değil politikayla karşılaştırın.

Belirti o zaman ortaya çıkıyorsa yeniden bağlandıktan sonra tekrarlayın, çünkü bağlantı sırasında uygulanan bir politika sonradan kaybolabilir. Ayarları tahmin etmek yerine iç DNS istisnaları için istemcinin belgelerini kullanın.

Bulduğunuz uyuşmazlığı giderin: bir tarayıcı seçimi, bir VPN DNS ayarı veya bir split DNS kuralı. Tünel başarısız olduğunda sorgular durmak zorundaysa, kill switch ayrı bir ayardır ve yalnızca DNS yapılandırması onu sağlamaz. RFC 8484 spesifikasyonu şifreli bir çözümleyicinin neyi gizleyip neyi gizlemediğini açıklamanız gerektiğinde yararlıdır.