Test ujawniania podsieci przez DNS

Co wyjaśnia ten test

EDNS Client Subnet, czyli ECS, pozwala resolverowi DNS przekazać część adresu sieci klienta do serwera autorytatywnego. Test sprawdza to, co rzeczywiście dociera do kolektora, zamiast zgadywać na podstawie Twojego IP. Adres samego resolvera jest inną informacją niż przekazywana podsieć klienta i nie powinien być z nią utożsamiany.

Jak przeprowadzić test

1. Sprawdź dostępność kolektora, następnie wybierz tryb przeglądarki albo zapytanie do wskazanego resolvera. Zachowaj wybrany tryb przy porównaniu.
2. Uruchom unikatowe zapytanie i poczekaj na koniec okna zbierania, nawet jeśli wcześniej pojawi się wstępna obserwacja.
3. Odczytaj dokładną opcję, długość prefiksu źródłowego i adres resolvera wraz z końcowym statusem. Nie wnioskuj wyłącznie z załadowania zasobu.

Jak działa pomiar

Tryb przeglądarki żąda zasobu pod unikatową nazwą, uruchamiając jej ścieżkę DNS. Tryb jawnego resolvera wysyła DNS z naszego serwera do wybranego resolvera.

Autorytatywny kolektor zapisuje opcję ECS odebraną dla zapytania testowego. Tymczasowe obserwacje mogą zawierać IP resolvera i prefiks klienta. Sama dostępność interfejsu nie zapewnia pomiaru bez działającego kolektora.

Jak rozumieć wyniki

Odebrano niezerowy prefiks

Kolektor otrzymał ECS ujawniający pokazaną część adresu sieci klienta. Długość prefiksu określa zakres informacji w tej próbie.

Prefiks zerowy lub brak ECS

Opcja ECS /0 nie zawiera podsieci klienta. Zakończone zapytanie bez opcji jest odrębną obserwacją. Żaden przypadek nie dowodzi zachowania dla wszystkich domen.

Brak obserwacji lub błędna opcja

Niedostępny kolektor lub zapytanie, które nie dotarło, pozostawia wynik nierozstrzygnięty. Błędna opcja jest problemem protokołu, nie poprawnym dowodem ujawnienia.

Porównaj przed i po zmianie

1. Zapisz tryb, resolver lub ustawienia DNS przeglądarki, prefiks i końcowy status kolektora.
2. Zmień jedno właściwe ustawienie resolvera i wykonaj nowe unikatowe zapytanie z tego samego urządzenia.
3. Porównaj zakończone obserwacje w tym samym trybie. Zapytanie serwera do resolvera nie jest automatycznie pomiarem DNS przeglądarki.

Ograniczenia testu

• Zasady ECS mogą zależeć od domeny docelowej i zmieniać się z czasem.
• Nieudane ładowanie zasobu nie musi oznaczać błędu DNS. Decyduje faktyczna obserwacja zapytania w kolektorze.

Co zmienić, jeśli trzeba

Ujawniany jest niezerowy prefiks klienta

Sprawdź udokumentowaną politykę ECS resolvera i rozważ właściwą alternatywę, potem powtórz test przez zamierzoną ścieżkę DNS.

Nie ma obserwacji autorytatywnej

Sprawdź wyświetlaną dostępność i spróbuj ponownie. Bez danych nie opisuj resolvera jako nieużywającego ECS.

Częste pytania

Źródła i dokumentacja techniczna

• RFC 7871 · ECS