DNS en doorgestuurde subnetinformatie

Waarvoor gebruik je dit?

Een DNS-resolver kan via EDNS Client Subnet, kortweg ECS, een deel van een clientadres meesturen. Dat helpt soms antwoorden geografisch af te stemmen, maar maakt ook subnetinformatie zichtbaar bij de ontvangende DNS-server. Deze test bekijkt de werkelijk ontvangen optie. Het resolveradres zelf is een ander gegeven en mag niet met het doorgestuurde clientprefix worden verward.

Aan de slag

1. Kies het beschreven testpad en start de controle. Let op het onderscheid tussen de browserroute en een afzonderlijk vanaf de server bevraagde resolver.
2. Wacht op de unieke DNS-aanvraag en op de waarneming bij de ontvangende gezaghebbende DNS-server.
3. Lees resolveradres, ECS-aanwezigheid en prefixlengte afzonderlijk. Controleer of de ontvangst daadwerkelijk is bevestigd.

Zo meten we

De test gebruikt een unieke naam zodat de ontvangende DNS-server de bijbehorende aanvraag kan herkennen en de werkelijk ontvangen ECS-optie kan uitlezen.

De betrokken resolver en DNS-ontvanger zien de testaanvraag. Een ontbrekende ontvanger of aanvraag laat de test onbeslist; een servercontrole meet niet automatisch de resolver van je browser.

Je resultaat begrijpen

Niet-nul clientprefix ontvangen

De resolver stuurde subnetinformatie mee met deze aanvraag. De prefixlengte bepaalt hoeveel adresbits zichtbaar waren.

Geen ECS of prefix nul

Geen optie en een aanwezige optie met /0 zijn verschillende uitkomsten. Een /0-prefix geeft in deze optie geen clientadresbits door.

Ontvangst niet bevestigd

De tool heeft geen bruikbare waarneming bij de ontvanger. Dat is geen bewijs dat ECS afwezig is.

Voor en na vergelijken

1. Bewaar het testpad, de resolver en het ontvangen prefix op hetzelfde apparaat en browserprofiel.
2. Verander één DNS- of verbindingsinstelling en herhaal hetzelfde pad met een nieuwe testaanvraag.
3. Vergelijk de ontvangen opties. Gebruik een servermeting niet als vervanging voor een ontbrekende browserroute.

Wat deze test niet vaststelt

• Resolvers kunnen ECS afhankelijk van bestemming of beleid gebruiken. Eén aanvraag beschrijft niet al hun verkeer.
• Caching en onvolledige ontvangst kunnen een waarneming verhinderen. De tool controleert geen versleuteling van de DNS-verbinding.

Wat kun je aanpassen?

Er wordt een clientprefix doorgestuurd dat je wilt beperken.

Controleer het gepubliceerde ECS-beleid van de gebruikte resolver en kies zo nodig een passende DNS-instelling. Herhaal dezelfde route.

De ontvangst blijft onbevestigd.

Controleer eerst of het gekozen pad een bruikbare aanvraag oplevert. Trek geen privacyconclusie uit ontbrekende gegevens.

Veelgestelde vragen

Bronnen

• RFC 7871 · ECS