Kiểm tra DNS tách mà không làm lộ tên nội bộ

Hỏi một tên nội bộ với resolver công cộng sẽ làm lộ tên và bỏ qua quy tắc bạn muốn kiểm tra. Truy vấn đến một máy chủ bạn không kiểm soát, câu trả lời đến từ một không gian tên đáng lẽ không được thấy nó, và kết quả không nói gì về việc DNS tách có hoạt động hay không. Kiểm tra DNS tách nghĩa là kiểm tra đường đi của resolver mà ứng dụng thực sự dùng. Đường đi đó do hệ điều hành chọn, do danh sách miền trong hồ sơ VPN chọn, và đôi khi do trình duyệt chọn.

Chọn hai tên và dự đoán trước cả hai câu trả lời

Hỏi chủ mạng một tên kiểm tra nội bộ đã được ghi nhận, và chọn một tên công cộng thông thường không nói gì về tổ chức. Viết ra điều gì phải xảy ra với mỗi tên trước khi chạy bất cứ thứ gì: tên nội bộ phải đến resolver của đường hầm và trả về một địa chỉ nội bộ, còn tên công cộng phải được phân giải qua resolver mà hệ thống thường dùng. Hai dự đoán đó chính là bài kiểm tra, vì không có chúng thì câu trả lời nào cũng có thể được biện minh sau đó. Giữ cặp tên cố định giữa các lần chạy để phép so sánh sau này có ý nghĩa.

Kiểm tra các quy tắc đang có hiệu lực, không phải quy tắc dự định. Danh sách miền gắn với kết nối VPN quyết định hậu tố nào đi đến resolver nào, và một lỗi đánh máy trong danh sách đó tạo ra một cách tách hợp lý nhưng sai. Trên thiết bị được quản lý, dùng đường chẩn đoán của quản trị viên, vì các ghi đè cục bộ có thể bị chính sách đặt lại ở lần kiểm tra sau.

Ghi dự đoán cạnh câu trả lời quan sát được trong cùng một phiếu. Một bài kiểm tra không có dự đoán thì không thể thất bại, và một bài kiểm tra không thể thất bại thì không dạy được gì.

Kiểm tra đường đi ứng dụng dùng, không phải một máy chủ bạn tự chọn

Một lệnh nêu rõ resolver chỉ kiểm tra resolver đó và không gì khác. Nó cho biết máy chủ nội bộ có trả lời hay không, điều này hữu ích, và nó không cho biết ứng dụng có gửi tên đến đó hay không. Trước hết hãy kiểm tra theo đường bình thường: phân giải tên nội bộ như một ứng dụng sẽ làm, rồi phân giải tên công cộng theo cùng cách. Chỉ sau đó mới hỏi các máy chủ cụ thể để tìm nơi hành vi khác đi.

Trình duyệt làm bức tranh phức tạp hơn, vì cài đặt DNS an toàn có thể bỏ qua hoàn toàn resolver của hệ thống. Một trình duyệt được cấu hình với resolver mã hóa riêng sẽ không bao giờ thấy sự tách, và sự cố trông như hồ sơ VPN bị hỏng. Hãy kiểm tra cài đặt đó trước khi thay đổi đường hầm.

Lặp lại tìm kiếm sau khi kết nối lại nếu câu hỏi là khôi phục. Một câu trả lời được lưu đệm từ trước khi kết nối lại có thể khiến một cách tách được khôi phục đúng trông tốt hơn hoặc tệ hơn thực tế.

Ghi lại loại câu trả lời, không chỉ thành công hay thất bại

Viết ra điều nào trong bốn điều đã xảy ra: một địa chỉ nội bộ, một địa chỉ công cộng, một câu trả lời phủ định, hoặc hết thời gian. Mỗi loại có ý nghĩa khác nhau. Địa chỉ nội bộ cho tên nội bộ là thành công mong đợi; địa chỉ công cộng cho một tên nội bộ gợi ý rằng truy vấn đã ra khỏi đường hầm; câu trả lời phủ định từ máy chủ có thẩm quyền chỉ ra một bản ghi thiếu chứ không phải lỗi định tuyến; và hết thời gian cho thấy vấn đề về khả năng tiếp cận hoặc một resolver chưa bao giờ nhận được truy vấn. Thành công và thất bại quá thô để hành động.

Tính đến bộ đệm trước khi diễn giải một truy vấn mới bị thiếu, vì câu trả lời phủ định trong bộ đệm trông giống hệt một tên không tồn tại. Ghi lại câu trả lời trước khi xóa bất cứ thứ gì bằng các công cụ được hỗ trợ, vì câu trả lời đầu tiên là bằng chứng.

Diễn giải hai nhánh mà không đoán

Nếu tên nội bộ được phân giải đúng mà ứng dụng vẫn thất bại, resolver đã làm xong việc của nó và các nghi phạm tiếp theo là tuyến đường và quyền trên chính tài nguyên. Nếu tên riêng đã đến một resolver công cộng, quy tắc tách không được áp dụng cho lần tìm kiếm đó, nên hãy xem lại danh sách miền và mọi chính sách trình duyệt cùng với chủ không gian tên. Hai nhánh này có chủ khác nhau, vì thế ghi lại nhánh nào bạn thấy quan trọng hơn ghi lại rằng có thứ gì đó hỏng.

Che phần nhạy cảm trong kết quả chia sẻ nhưng giữ cấu trúc: không gian tên nào, quy tắc nào, loại câu trả lời nào. Câu trả lời của resolver có thể mang địa chỉ nội bộ và tên máy chủ, và một phiếu là nơi lưu bền cho cả hai.

Sau đó chuyển kết quả cho chủ không gian tên với hai loại bạn đã quan sát và tên đã được gỡ bỏ. Đó là cuộc trò chuyện năm phút thay vì một tuần suy đoán.