DNS oqib chiqish testi: resolver nomi marshrut emas

VPN foydalanuvchisi uchun to‘g‘ri DNS deb uch tuzilma hisoblanadi: operator resolveriga so‘rovlar, siz tanlagan shifrlangan resolverga so‘rovlar va ish nomlarini tashkilotga yuboradigan split DNS. Oqib chiqish testi bitta resolverni bildiradi, va o‘sha bitta yorliq sizda qaysi tuzilma borligini ayta olmaydi. Avval mo‘ljallangan siyosatni belgilang, so‘ng unga qarshi sinang. Aks holda siz raqamni his bilan solishtirasiz.

Natijani o‘qishdan oldin nima xohlaganingizni belgilang

Siyosatni bir gap bilan ayting: barcha nomlar VPN resolveriga, barcha nomlar tanlangan shifrlangan resolverga, yoki ichki nomlar tashkilotga boradigan split DNS. Har biri boshqa foydalanuvchi uchun asosli, va har biri boshqa kutilgan javob beradi. O‘sha gap bo‘lmasa, forum postidagi ekran suratidan farq qiladigan har qanday natija xavotirli ko‘rinadi. Siyosatni birinchi testdan oldin yozib qo‘ying.

Siyosat belgilanmasdan oldin o‘tkazilgan test hech narsani o‘lchamaydi. U hech qanday tayanch nuqtasi bo‘lmagan resolver nomini beradi.

Resolver nomi na yo‘lni, na qabul qiluvchini isbotlaydi

Ikki savol muhim: so‘rovni kim oldi va uni qaysi marshrut olib o‘tdi. Sozlamalar ekrani provayder manzilini ko‘rsatib turgan holda ham uchinchi tomon resolveriga tunnel orqali yetib borish mumkin. Oqib chiqish testi sahifasidagi yorliq kuzatuvchining ko‘rinishini tasvirlaydi, sizning marshrutlash jadvalingizni emas.

Brauzer sayt trafigi tunneldan o‘tayotganda o‘zining shifrlangan DNS'dan foydalanishi mumkin, keshdagi javoblar esa sahifani yangi qidiruvsiz yuklashga imkon beradi. Shuning uchun ommaviy IP natijasi DNS haqida hech narsa demaydi. DoH va DoT so‘rovni resolverga boradigan yo‘lda himoya qiladi, va o‘sha resolver nomlarni baribir ko‘radi.

resolvectl status
resolvectl query example.com
dig +short example.com

split DNS bir nechta resolverni to‘g‘ri qiladi

Tashkilot ichki nomlarni o‘z DNS'iga, qolganini boshqa joyga yuborishi mumkin. Shuning uchun bir nechta resolverni sanaydigan test nosozlikni emas, mo‘ljallangan siyosatni tasvirlayotgan bo‘lishi mumkin. Biror narsani o‘chirishdan oldin kuzatilgan to‘plamni hujjatlashtirilgan split DNS qoidalari bilan solishtiring. Test sahifasi tozaroq ko‘rinishi uchun ichki resolverni o‘chirish shaxsiy nomlarni buzadi.

split tunneling va split DNS turli tanlovlar: biri paketlarni, ikkinchisi savollarni marshrutlaydi. Tunnel marshrutini o‘zgartirish nom qidiruvini qimirlatmaydi, resolverni o‘zgartirish esa sayt yo‘lini tuzatmaydi. IPv6 uchinchi savol, chunki mo‘ljallanmagan IPv6 ulanish avtomatik ravishda DNS oqib chiqishi emas.

Natijani tekshiruvga aylantiring

Testdan oldin mo‘ljallangan siyosatni va brauzerning xavfsiz DNS sozlamasini yozib oling. Tunnel faol bo‘lganda testni o‘tkazing, u tilga oladigan har bir resolverni qayd eting va to‘plamni bitta kutilgan manzil bilan emas, siyosat bilan solishtiring.

Agar alomat o‘sha paytda ko‘rinsa, qayta ulangandan keyin takrorlang, chunki ulanish vaqtida qo‘llanilgan siyosat keyin yo‘qolishi mumkin. Sozlamalarni taxmin qilmasdan, ichki DNS istisnolari uchun mijoz hujjatlaridan foydalaning.

Topilgan nomuvofiqlikni tuzating: brauzer tanlovi, VPN DNS sozlamasi yoki split DNS qoidasi. Tunnel ishlamay qolganda so‘rovlar to‘xtashi kerak bo‘lsa, kill switch alohida sozlama bo‘lib, faqat DNS konfiguratsiyasi uni bermaydi. RFC 8484 spetsifikatsiyasi shifrlangan resolver nimani yashirishi va nimani yashirmasligini tushuntirish kerak bo‘lganda foydalidir.