Test podsítě klienta v DNS

Co se z testu dozvíte

EDNS Client Subnet neboli ECS může při DNS dotazu předat další infrastruktuře část adresy klienta. Nástroj čte skutečně přijatou možnost, ne pouze deklarovanou politiku resolveru. Šifrované spojení k resolveru a podsíť, kterou resolver dále předá, jsou dvě odlišné otázky a je třeba je posuzovat samostatně.

Jak test spustit

1. Ověřte dostupnost kolektoru a zvolte režim prohlížeče nebo výslovně určený resolver.
2. Spusťte dotaz na jedinečný název a počkejte do konce pozorovacího okna, i když se objeví předběžný záznam.
3. Čtěte přijatou možnost, délku zdrojového prefixu a adresu resolveru společně s konečným stavem testu.

Jak měření funguje

Režim prohlížeče načítá prostředek pod jedinečným názvem hostitele a tím vyvolá překlad na jeho DNS cestě. Výslovný režim posílá dotaz z našeho serveru zvolenému resolveru.

Autoritativní kolektor zaznamená ECS skutečně přijaté pro testovací dotaz. Dočasné síťové údaje mohou zahrnovat IP resolveru a prefix klienta. Samotná webová stránka bez této infrastruktury měření neposkytuje.

Jak číst výsledky

ECS nebylo pozorováno

Pozorovaný dokončený dotaz neobsahoval možnost ECS. Závěr se týká tohoto dotazu a cesty, ne všech budoucích požadavků resolveru.

Prefix /0 nebo nenulový prefix

/0 nepředává žádné bity adresy klienta. Nenulový prefix obsahuje část adresy; jeho rozsah posuzujte podle délky a rodiny.

Pozorování chybí

Nedostupný kolektor nebo chybějící dotaz neumožňují závěr. To není stejný stav jako přijatý dotaz bez ECS.

Porovnání před a po změně

1. Uložte režim, resolver nebo DNS nastavení prohlížeče, prefix a konečný stav kolektoru.
2. Změňte jednu související volbu resolveru a spusťte nový jedinečný dotaz ze stejného zařízení.
3. Porovnávejte dokončená pozorování ve stejném režimu. Dotaz našeho serveru nepovažujte za měření resolveru prohlížeče.

Omezení testu

• IP resolveru určuje odesílatele DNS dotazu, nikoli automaticky předanou podsíť klienta.
• Test nehodnotí šifrování transportu ani všechny cache a navazující DNS cesty.

Co případně změnit

Resolver předává nežádoucí prefix

Ověřte jeho dokumentovanou politiku ECS a dostupné DNS volby. Po změně zopakujte stejné měření.

Výsledek zůstává neprůkazný

Prověřte stav dotazu a dostupnost kolektoru. Před závěrem o soukromí vyčkejte na úplné pozorování.

Časté otázky

Zdroje a technické podklady

• RFC 7871 · ECS