Tunnel chia tách loại trừ trình duyệt, không loại trừ truy vấn DNS của nó

Trình duyệt bị loại khỏi đường hầm, trang IP công khai xác nhận lưu lượng của nó đi ra qua kết nối tại nhà, và wiki nội bộ vẫn không mở được. Việc phân giải tên đã đi nơi khác, và nơi khác đó thường là bộ phân giải do VPN đặt. Đường dữ liệu và đường phân giải là hai quyết định riêng trong hầu hết thiết kế tunnel chia tách. Hãy kiểm tra trình duyệt thực sự dùng cái nào trước khi gọi việc loại trừ là hỏng.

Đường dữ liệu và đường phân giải tách nhau

Loại trừ gỡ các gói của ứng dụng khỏi đường hầm, đó là quyết định định tuyến và tường lửa trên đường dữ liệu. Phân giải tên là một tra cứu khác: một tiến trình hỏi bộ phân giải của hệ thống, và bộ phân giải đó quyết định máy chủ nào nhận câu hỏi.

Cả hai có thể là cố ý và khác nhau. Một triển khai công việc có thể giữ không gian tên nội bộ ở bộ phân giải doanh nghiệp trong khi gửi duyệt web công khai đã chọn ra ngoài đường hầm, chính vì tên nội bộ không được phân giải ở nơi nào khác. Trường hợp gây nhầm lẫn là ngược lại: một trang công khai thất bại vì trình duyệt chưa bao giờ hỏi bộ phân giải mà triển khai mong đợi. Ghi lại tuyến và bộ phân giải riêng, và một nửa tranh cãi biến mất.

Tìm tiến trình nào đặt câu hỏi

Trình duyệt có thể dùng bộ phân giải của hệ thống, dịch vụ DNS mã hóa của riêng nó, hoặc bộ phân giải mà hệ điều hành gán cho từng mạng. Cái đầu theo chính sách nền tảng, cái thứ hai bỏ qua hoàn toàn chính sách đó, và cái thứ ba phụ thuộc vào việc truy vấn được định tuyến tới liên kết nào.

resolvectl status
resolvectl query intranet.example.net
dig +short +time=2 intranet.example.net @10.52.0.2
scutil --dns | head -n 40

Đọc cấu hình hiệu lực trước khi kiểm tra: liên kết nào mang máy chủ DNS, chúng yêu cầu không gian tên nào, và chính sách theo tên có ghi đè mặc định không. Trên Linux, DNS chia tách dùng miền định tuyến; trên Windows, bảng chính sách phân giải tên làm việc tương tự cho không gian tên. Không cái nào nhìn thấy từ trang kiểm tra rò rỉ.

Quyết định bộ phân giải nào thấy tên nào

Viết ánh xạ dự định trước khi thay đổi bất cứ điều gì: tên nội bộ đến bộ phân giải doanh nghiệp, tên công khai đến dịch vụ mà chính sách cho phép, và ngoại lệ kèm người phụ trách. Không có danh sách đó, mọi nhãn của bài kiểm tra rò rỉ thành cuộc tranh luận chính sách không ai kết thúc được.

Sau đó kiểm tra thiết lập của chính trình duyệt, vì DNS mã hóa trong trình duyệt được áp dụng trước khi hệ điều hành nhận truy vấn. Người dùng bật nó để vượt qua cổng chặn đã âm thầm ghi đè bộ phân giải mà triển khai chọn. Đó là quyết định cấu hình chứ không phải rò rỉ, và nó đáng được quyết định thay vì danh sách chặn.

Đừng viết lại mọi trường DNS để một nhãn kiểm tra chuyển xanh. Nhãn mô tả một truy vấn của một tiến trình tại một thời điểm.

Xác minh truy vấn và kết nối riêng

Kiểm tra hai đường riêng biệt. Bài kiểm tra kết nối cho thấy tuyến dữ liệu, và bài kiểm tra bộ phân giải cho thấy ai nhận tên.

curl -sS --max-time 8 https://api.ipify.org
resolvectl query example.net
dig +short example.net

Hỏi bộ phân giải một cách rõ ràng nữa, để lỗi được quy cho máy chủ chứ không phải đường đi. Sau đó khởi động lại trình duyệt và lặp lại, vì ứng dụng lưu bộ nhớ đệm câu trả lời phủ định và lỗi cũ trông như kéo dài.

Sau một thay đổi đã duyệt, ghi lại tuyến dữ liệu và người nhận của bộ phân giải thành hai dòng riêng kèm ngày. Nếu hành vi quay lại ở lần kết nối tiếp theo, hồ sơ cung cấp nó là thứ cần sửa, không phải trình duyệt.