Sous-réseau transmis par le DNS

À quoi sert ce test ?

ECS, EDNS Client Subnet, permet au résolveur DNS de transmettre un préfixe client au serveur autoritatif. Observez l’option réellement reçue, sans la déduire de votre IP. Une option /0 existe, mais ne transmet aucun sous-réseau client.

Comment procéder

1. Vérifiez la disponibilité du collecteur. Choisissez le mode navigateur ou résolveur explicite : leurs chemins diffèrent.
2. Lancez le test et attendez la fin de la fenêtre de collecte. Un premier résultat sans ECS peut être suivi d’une requête qui contient un préfixe.
3. Lisez le mode, le résolveur observé, l’option reçue et sa longueur de préfixe. L’adresse du résolveur n’est pas automatiquement votre adresse.

Ce qui est mesuré

Un nom aléatoire provoque une résolution DNS ; le collecteur autoritatif enregistre l’option ECS reçue. En mode navigateur, une ressource sollicite son chemin DNS ; en mode explicite, le serveur interroge le résolveur saisi.

Le collecteur conserve temporairement l’adresse du résolveur et, s’il existe, le préfixe client associé au jeton de test. L’absence de collecteur ou de requête empêche toute conclusion.

Comprendre vos résultats

Préfixe client transmis

Une option valide avec une longueur supérieure à zéro a été reçue. Le préfixe affiché décrit exactement le sous-réseau transmis sur cette requête.

Aucun sous-réseau client observé

La requête est arrivée sans ECS, ou avec une option /0. Ces cas restent distincts : absence d’option et option sans sous-réseau.

Indéterminé ou option invalide

Aucune requête, un collecteur indisponible ou une option mal formée ne permet de déclarer l’absence d’exposition. Consultez la raison affichée.

Comparer avant et après

1. Relevez le préfixe et le mode sur le même appareil, navigateur et outil, en gardant le même chemin ou résolveur explicite.
2. Modifiez un seul réglage DNS ou activez le VPN, puis relancez une nouvelle requête unique avec les autres conditions identiques.
3. Comparez préfixes et longueurs après la collecte complète. Le mode explicite ne confirme pas le DNS du navigateur.

Ce que le test ne permet pas de conclure

• Une requête sans ECS ne prouve pas que le résolveur n’envoie jamais cette option à d’autres domaines autoritatifs.
• La disponibilité de l’interface n’assure pas celle du collecteur DNS ; sans observation, le résultat demeure indéterminé.

Que faire selon le résultat ?

Un préfixe client non nul est transmis.

Si cette transmission ne vous convient pas, examinez la politique ECS de votre résolveur et choisissez un réglage ou service adapté, puis refaites le même mode de test.

Aucune observation ne parvient au collecteur.

Vérifiez le mode choisi et les messages de disponibilité. Réessayez lorsque le collecteur est accessible, sans conclure sur votre protection entre-temps.

Questions fréquentes

Sources et références

• RFC 7871 · ECS