Перевірка роздільного DNS без витоку внутрішніх імен

Запит внутрішнього імені до публічного резолвера викриває ім'я й обходить правило, яке ви хотіли перевірити. Запит доходить до сервера, яким ви не керуєте, відповідь надходить із простору імен, яке не мало його бачити, і результат нічого не каже про те, чи працює роздільний DNS. Перевірити роздільний DNS означає перевірити шлях резолвера, який застосунок справді використовує. Цей шлях обирає операційна система, список доменів у профілі VPN і іноді браузер.

Виберіть два імені й спершу передбачте обидві відповіді

Попросіть власника мережі про одне задокументоване внутрішнє тестове ім'я і виберіть звичайне публічне ім'я, яке нічого не каже про організацію. Перш ніж щось запускати, запишіть, що має статися з кожним: внутрішнє ім'я має дійти до резолвера тунелю й повернути внутрішню адресу, а публічне ім'я має розв'язатися через резолвер, який система зазвичай використовує. Ці два передбачення і є тест, бо без них будь-яку відповідь можна виправдати заднім числом. Тримайте пару незмінною між запусками, щоб пізніше порівняння щось означало.

Перевіряйте чинні правила, а не передбачувані. Список доменів, приєднаний до з'єднання VPN, визначає, які суфікси йдуть до якого резолвера, і друкарська помилка в цьому списку дає правдоподібний, але хибний поділ. На керованому пристрої використовуйте діагностичний шлях адміністратора, бо локальні перевизначення можуть бути скинуті політикою під час наступної перевірки.

Запишіть передбачення поряд із спостережуваною відповіддю в тій самій заявці. Тест без передбачення не може провалитися, а тест, який не може провалитися, нічого не вчить.

Перевіряйте шлях, який використовує застосунок, а не один обраний вами сервер

Команда, яка явно називає резолвер, перевіряє лише цей резолвер і нічого більше. Вона каже, чи відповідає внутрішній сервер, що корисно, і не каже, чи надсилає застосунок ім'я туди. Спершу перевіряйте звичайним шляхом: розв'яжіть внутрішнє ім'я так, як це зробив би застосунок, а потім тим самим способом розв'яжіть публічне ім'я. Лише після цього питайте конкретні сервери, щоб знайти, де поведінка розходиться.

Браузери ускладнюють картину, бо налаштування захищеного DNS можуть повністю обходити системний резолвер. Браузер, налаштований із власним зашифрованим резолвером, ніколи не бачить поділу, і збій виглядає як зламаний профіль VPN. Перевірте це налаштування, перш ніж змінювати тунель.

Повторіть пошук після повторного підключення, якщо питання в відновленні. Відповідь із кешу, отримана до повторного підключення, може змусити правильно відновлений поділ виглядати краще або гірше, ніж він є.

Записуйте категорію відповіді, а не лише успіх чи невдачу

Запишіть, що з чотирьох сталося: внутрішня адреса, публічна адреса, негативна відповідь або тайм-аут. Кожне має інше значення. Внутрішня адреса для внутрішнього імені — очікуваний успіх; публічна адреса для внутрішнього імені свідчить, що запит покинув тунель; негативна відповідь від авторитетного сервера вказує на відсутній запис, а не на помилку маршрутизації; а тайм-аут вказує на проблему доступності або на резолвер, який так і не отримав запит. Успіх і невдача надто грубі, щоб за ними діяти.

Зважайте на кеш, перш ніж тлумачити відсутність свіжого запиту, бо негативна відповідь у кеші виглядає точно так само, як неіснуюче ім'я. Зафіксуйте відповідь, перш ніж щось очистити підтримуваними засобами, адже перша відповідь і є доказом.

Тлумачте обидві гілки без здогадів

Якщо внутрішнє ім'я розв'язується правильно, а застосунок усе одно не працює, резолвер зробив свою справу, і наступні підозрювані — маршрути й дозволи на самому ресурсі. Якщо приватне ім'я дійшло до публічного резолвера, правило поділу не застосовується до цього пошуку, тому разом із власником простору імен перегляньте список доменів і будь-яку політику браузера. Ці дві гілки мають різних власників, і саме тому записати, яку ви бачили, важливіше, ніж записати, що щось зламалося.

Приховайте чутливі частини спільного виводу, зберігши структуру: який простір імен, яке правило, яка категорія відповіді. Відповідь резолвера може містити внутрішні адреси й імена хостів, а заявка — надійний дім для обох.

Потім передайте результат власнику простору імен із двома спостереженими категоріями та вилученими іменами. Це розмова на п'ять хвилин замість тижня здогадів.