VPN'ingiz uchta DNS serverini yuboradi: qaysi biri javob beradi?

Ulanganidan keyin sozlamalar sahifasini oching va uchta DNS manzili ro'yxatda ko'rinadi; audit savoli — ularning qaysi biri oxirgi so'rovingizni bajargan. Faqat raqam hech narsaga javob bermaydi, chunki mijoz turtkisi, jismoniy interfeys va har bir domen uchun siyosat barchasi bir xil ko'rinishga yozadi. Bu yozuvlar turli qamrovlarga ega va kim javob berishini pozitsiya emas, qamrov hal qiladi. Manbalarni ajratishdan boshlang, keyin siz uchun muhim nomga ega manbani sinab ko'ring.

Nega ro'yxat profilingizdan uzun

VPN mijozi tunnel bog'lanishi uchun hal qiluvchi manzillarini yuboradi va operatsion tizim ularni jismoniy interfeysda avvaldan bor narsaning yonida saqlaydi. Router, korporativ DHCP ijarsi, ikkinchi VPN va har bir domen uchun siyosat har biri o'z yozuvini qo'shadi. Shuning uchun sahifadagi uchta manzil bitta ish uchun uchta nomzod emas, uchta qamrovni anglatishi mumkin. Raqamni oqishning dalili deb o'qish bu auditning birinchi xatosi.

Bitta interfeys ichida mijoz serverlarini haqiqatan navbat bilan sinab ko'radi, shuning uchun tartiblangan ro'yxat ma'nosiz emas. Navbat emas narsa — birlashtirilgan ko'rinish, unda profil, jismoniy bog'lanish va har bir domen qoidalarining yozuvlari bitta darajalashsiz yonma-yon turadi. Shu farq nima sinashingizni hal qiladi: tartib bitta qamrov ichidagi xulqni tushuntiradi, qamrov esa qolgan hamma narsani.

Shifrlangan DNS rasmni ilova ichidan buzadi. O'zining DNS-over-HTTPS hal qiluvchisiga ega brauzer yoki chat mijozi so'rovlarni operatsion tizim ro'yxatini butunlay chetlab yuboradi, shuning uchun sozlamalar sahifasidagi manzillar ilova hech qachon yaratmagan trafikni tasvirlaydi. Nom xato chiqqani uchun profilni ayblashdan oldin ilovaning o'z hal qiluvchi sozlamasini tekshiring.

Uchta tekshiruvning har biri nima deydi

Har bir manba o'z izini boshqa joyda qoldiradi va hech bir buyruq hammasini ko'rsatmaydi. Bu — sozlamalar sahifasi yonida saqlashga arziydigan xaritalash:

systemd-resolved ishlatadigan tizimda resolvectl status vakolatli, chunki u DNSni marshrutlash domenlari bilan birga har bir bog'lanish uchun xabar qiladi. macOS scutil --dns orqali javob beradi, u qamrovli hal qiluvchilarni sinash tartibida sanaydi. Windows ikki yarmga bo'ladi: har bir interfeys serverlari uchun Get-DnsClientServerAddress va suffiks qoidalari uchun Get-DnsClientNrptPolicy. Haqiqatda ishlatilayotgan hal qiluvchiga tegishli buyruqni ishga tushiring, chunki konteyner ish muhiti va ish stoli hal qiluvchisi bo'lgan mashinada bir nechtasi o'rnatilgan bo'lishi mumkin.

Zonangizga javob bera olmaydigan zaxira hal qiluvchi

Ikkinchi yozuv odatda mavjudlik uchun bo'ladi va mavjudlik faqat zaxira nomlarni bilsa ishlaydi. Ommaviy hal qiluvchidan ichki xost nomini so'rang, u NXDOMAIN qaytaradi yoki sizga aloqasi bo'lmagan qidiruv domenidan joker javob beradi. Hech kim tekshirmagan zaxira o'tish aynan kerak bo'lgan paytda uzilish keltiradi.

Split DNS shuni oldini olish uchun bor: kompaniya suffikslari zonani ushlab turgan hal qiluvchiga boradi va ommaviy nomlar standart yo'lda qoladi. Dizayn mustahkam va u suffikslar ro'yxatining to'liqligiga bog'liq. Microsoft Windowsda buni boshqaradigan har bir suffiks uchun hal qiluvchi siyosatini hujjatlashtiradi va xuddi shu g'oya systemd-resolvedda marshrutlash domenlari va macOSda qamrovli hal qiluvchilar sifatida ko'rinadi.

Zaxira javob bera oladigan zonalarni siyosatdagi suffikslar bilan solishtiring. Bu taqqoslash foydalanuvchi tunnel o'zgarishidan keyin bitta ichki sayt hal bo'lishni to'xtatganini aytishidan oldin bo'shliqni topadi.

Siyosat orqali so'rang, uning atrofidan emas

Operatsion tizim hal qiluvchisi orqali so'rang, chunki serverga to'g'ridan-to'g'ri so'rov siyosatni chetlab o'tadi va faqat o'sha server aytadigan narsani xabar qiladi. Ikki javob orasidagi bo'shliq — butun masala:

resolvectl query intranet.example.com
dig +short intranet.example.com @198.51.100.53

Agar tizim so'rovi shaxsiy manzil qaytarsa, to'g'ridan-to'g'ri so'rov esa NXDOMAIN qaytarsa, siyosat ishlayapti va kuchsiz joy — zaxira. Agar ikkalasi bir xil ommaviy javob qaytarsa, nom siz mo'ljallagan qamrovdan tashqarida hal qilinmoqda va suffikslar ro'yxati qarash kerak bo'lgan joy. Ikkala chiqishni ham saqlang, chunki hal qiluvchi bahsi sozlamalar sahifasining skrinshotidan ko'ra ikki satr bilan tezroq hal bo'ladi.

Keyin muvaffaqiyatsizlik yo'lini mashq qiling, chunki hech kim sinamagan zaxira — taxmin. Bitta so'rov uchun afzal hal qiluvchini qora tuynukka aylantiring va qaysi manzil qaytishini kuzating:

ip route add blackhole 198.51.100.53/32
resolvectl query intranet.example.com
ip route del blackhole 198.51.100.53/32

So'rov tugashi bilan o'sha marshrutni o'chiring, aks holda keyingi odam jumboqni meros oladi. Agar o'sha oynada ichki nomlar hali ham hal bo'lsa, ularga mo'ljallangan qamrovdan tashqaridagi narsa javob bergan. Agar ular o'rniga vaqt tugasa, zaxira yo'q yoki to'g'ri chegaralangan va hal qiluvchining o'z jurnali ikkisidan qaysi biri bo'lganini aytadi.

Qaror qiling: saqlang, chegaralang yoki olib tashlang

Kerakli nom maydoniga javob bersa va profil ostida yetib boradigan bo'lsa, ikkinchi hal qiluvchini saqlang. Faqat bitta suffiks ko'rishi kerak bo'lsa chegaralang va na qamrov, na hujjatlashtirilgan maqsad bo'lmasa olib tashlang. Ishlamaydigan yozuv — foydasiz kelajakdagi oqish, va yetkazib beruvchining standart qiymati maqsad emas.

Natijani to'rt ustunda yozib oling: suffiks, hal qiluvchi, interfeys va egasi. O'sha satr har qanday skrinshotdan tezroq keyingi audit savoliga javob beradi va ro'yxatni jimgina qayta tartiblaydigan mijoz yangilanishidan omon qoladi.