חיבור ו-DNS
בדיקת חשיפת תת-רשת לקוח DNS
בדקו את אפשרות EDNS Client Subnet שהתקבלה בפועל עבור שאילתת DNS ייחודית אצל האוסף הסמכותי.
הבדיקה לא התחילה
תווית DNS אקראית מונעת שימוש חוזר בתשובה מהמטמון.
שאילתה סמכותית
דוח JSON
Aucun rapport.
השוואה לפני ואחרי
הריצו את אותה בדיקה באותו מכשיר ושמרו תוצאת בסיס. הפעילו את ה-VPN או שנו הגדרה רלוונטית אחת, הריצו שוב באותם תנאים ושמרו את התוצאה הבאה.
שמרו תוצאה מלפני ותוצאה מאחרי כדי להשוות ביניהן.
מה הבדיקה הזאת מגלה
EDNS Client Subnet, או ECS, מאפשר למפענח DNS רקורסיבי לשלוח חלק מכתובת רשת של לקוח לשרת DNS סמכותי. הבדיקה בודקת מה מגיע לאוסף במקום לנחש לפי כתובת ה-IP שלכם. כתובת המפענח הרקורסיבי עצמו נפרדת מכל תת-רשת לקוח שהוא מעביר.
איך לבצע את הבדיקה
- בדקו שהאוסף זמין ובחרו מצב דפדפן או בדיקה מפורשת של מפענח.
- הפעילו את השאילתה הייחודית והמתינו עד לסיום חלון האיסוף, גם אם מופיעה תצפית מוקדמת.
- קראו את האפשרות המדויקת, קידומת המקור וכתובת המפענח יחד עם המצב הסופי.
איך המדידה פועלת
מצב דפדפן מבקש משאב בשם מארח ייחודי כדי להפעיל פענוח דרך מסלול ה-DNS של הדפדפן. מצב מפורש שולח DNS מהשרת שלנו למפענח שנבחר.
האוסף הסמכותי רושם את אפשרות ECS שהתקבלה בפועל עבור שאילתת הבדיקה. תצפיות הרשת הזמניות שלו עשויות לכלול את כתובת ה-IP של המפענח וקידומת לקוח; פרסום הממשק לבדו אינו יכול לספק מדידה זו.
הבנת התוצאות
- התקבלה קידומת תת-רשת שאינה אפס
- האוסף הסמכותי קיבל אפשרות ECS החושפת את החלק המוצג של כתובת רשת לקוח עבור שאילתה זו.
- נצפתה קידומת אפס או שלא נצפה ECS
- אפשרות ECS /0 אינה נושאת תת-רשת לקוח. שאילתה שהושלמה ללא האפשרות היא תצפית נפרדת; אף אחת מהן אינה מוכיחה את התנהגות המפענח לכל שם מתחם.
- אין תצפית או שהאפשרות אינה תקינה
- תצורת אוסף חסרה או שאילתה שמעולם לא מגיעה משאירות את התוצאה לא חד-משמעית. אפשרות פגומה היא שגיאת פרוטוקול ולא ראיה תקפה לחשיפה.
השוואה לפני ואחרי
- שמרו את המצב, הגדרת המפענח או DNS הדפדפן, הקידומת ומצב האוסף הסופי.
- שנו הגדרת מפענח רלוונטית אחת והריצו שאילתה ייחודית חדשה מאותו מכשיר.
- השוו תצפיות שהושלמו באותו מצב. אין להתייחס לשאילתות שרת מפורשות כאל מדידות של מפענח הדפדפן שלכם.
מגבלות הבדיקה
- מדיניות ECS של מפענח עשויה להשתנות לפי יעד ועם הזמן.
- כישלון בטעינת משאב אינו אומר בהכרח ש-DNS נכשל; תצפית השאילתה בפועל של האוסף היא הראיה המכרעת.
מה לשנות, אם צריך
- קידומת לקוח שאינה אפס נחשפת
- בדקו את מדיניות ECS המתועדת של המפענח ושקלו חלופה מתאימה, ואז בדקו שוב דרך מסלול ה-DNS המיועד.
- לא מגיעה תצפית סמכותית
- בדקו את הזמינות המוצגת ונסו שוב. אל תסמנו את המפענח כנטול ECS כשחסרות ראיות.
שאלות נפוצות
האם ECS חושף את הכתובת המלאה שלי?
הדבר תלוי בקידומת שהתקבלה. קראו את אורכה ואת משפחת הכתובות במקום להניח שכל כתובת ה-IP נשלחה.
האם DNS מוצפן מספיק כדי למנוע ECS?
לא. הצפנה למפענח ומידע תת-הרשת שהמפענח מעביר הן שאלות נפרדות.