Hướng dẫn chẩn đoán tập trung
Bài kiểm tra rò rỉ DNS có thể quan sát các recursive resolver truy vấn những hostname duy nhất. Chỉ riêng vị trí địa lý hay chủ sở hữu của resolver không thể chứng minh DNS đã bỏ qua tuyến dự định.
Trả lời nhanh
Bài kiểm tra rò rỉ DNS trên trình duyệt yêu cầu các hostname duy nhất và hỏi một dịch vụ có thẩm quyền xem những recursive resolver nào đã tra cứu chúng. Hãy so sánh tập resolver quan sát được trước và sau khi đổi tuyến. Một resolver khớp chính xác với mốc đối chiếu trực tiếp mà vẫn tồn tại thì đáng được xem xét, nhưng resolver công khai, anycast, DNS mã hóa và sai số định vị địa lý khiến việc lệch quốc gia không đủ để chứng minh rò rỉ.
Ranh giới của bằng chứng
Một kết luận rò rỉ đáng tin cậy tách bằng chứng quan sát được từ trình duyệt khỏi các giả định về danh tính, quyền sở hữu hay ý định của tuyến.
| Tín hiệu | Bằng chứng có sẵn | Điều nó không chứng minh |
|---|---|---|
| Callback có thẩm quyền | Những địa chỉ recursive resolver nào đã yêu cầu các hostname ngắn hạn có gắn token được tạo cho lần chạy này. | Bài kiểm tra không đọc trực tiếp máy chủ DNS được cấu hình trong hệ điều hành hoặc trình duyệt. |
| Tập resolver | Các địa chỉ resolver duy nhất quan sát được cùng chủ sở hữu mạng và vị trí địa lý được báo cáo của chúng. | Một lần chạy có thể không phát hiện hết mọi resolver trong một pool xoay vòng. |
| Tính nhất quán của tuyến | Mối quan hệ về quốc gia và mạng giữa các tuyến công khai của trình duyệt và hạ tầng resolver quan sát được. | DNS công khai và anycast có thể phân giải hợp lệ từ một thành phố hoặc quốc gia khác. |
| So sánh với mốc đối chiếu | Các resolver từ lần chạy trực tiếp đã lưu có xuất hiện lại sau khi tuyến dự định thay đổi hay không. | Cùng một resolver công khai có thể được cố ý cấu hình trên cả hai tuyến. |
Phương pháp
Trình duyệt yêu cầu các hostname ngắn hạn có gắn token để dịch vụ phát hiện có thẩm quyền có thể tách lần chạy này khỏi những khách truy cập khác và các lần tra cứu đã được lưu đệm.
Dịch vụ phát hiện báo cáo các địa chỉ resolver đã hỏi về những hostname đó. Nhiều yêu cầu làm tăng khả năng quan sát được một pool resolver xoay vòng.
Dữ liệu về chủ sở hữu mạng và vị trí giúp giải thích kết quả, nhưng anycast và hạ tầng resolver công khai có thể khiến vị trí địa lý khác với điểm thoát của trình duyệt.
Lưu tập resolver trực tiếp, thay đổi một biến định tuyến rồi chạy lại. Hãy xem các kết quả khớp chính xác với mốc đối chiếu cùng với cấu hình DNS mà bạn định dùng.
Diễn giải
“Không có dấu hiệu” hẹp hơn “an toàn”, “Cần xem xét” không phải kết luận rò rỉ, và “Không khả dụng” không bao giờ bị chuyển thành kết quả đạt.
Quan sát được các resolver, không resolver nào thuộc mốc đối chiếu trực tiếp còn tồn tại, và mạng/vị trí của chúng phù hợp với tuyến dự định.
Mẫu này không chứng minh được sự không khớp DNS nào; không bảo đảm cho mọi resolver hay các lần tra cứu trong tương lai.
Vị trí địa lý hoặc chủ sở hữu của resolver khác đi, hoặc một resolver khớp chính xác với mốc đối chiếu trực tiếp vẫn còn sau khi tuyến thay đổi.
Hãy kiểm tra chế độ DNS dự định, tài liệu của nhà cung cấp và các lần chạy lặp lại. Đây không phải là bằng chứng mặc nhiên về việc lộ danh tính.
Đường DNS được xác minh độc lập là bỏ qua tuyến dự định và tới một resolver mà cấu hình không nên dùng.
Việc xác nhận cần nhiều hơn một sự lệch quốc gia — ví dụ, một resolver trực tiếp đã biết cùng bằng chứng định tuyến/cấu hình đã được xác minh.
Không có callback có thẩm quyền nào đến, dịch vụ bị chặn, hoặc yêu cầu hết hạn trước khi trả về tập resolver.
Không thu được bằng chứng resolver nào. Có thể liên quan đến trình chặn quảng cáo, chính sách trình duyệt, hành vi DoH, bộ lọc mạng hoặc khả năng truy cập dịch vụ.
Xử lý sự cố
Giới hạn
Tiếp tục kiểm tra
Dùng một mốc đối chiếu đã lưu cho tất cả các kiểm tra liên quan để các khác biệt vẫn có thể quy về đúng nguyên nhân.
So sánh bằng chứng IPv4, IPv6, WebRTC và DNS mà trình duyệt nhìn thấy với mốc đối chiếu kết nối trực tiếp đã lưu.
Mở tài nguyênXem các quan sát đã ẩn danh hóa về kết nối trực tiếp, WARP và proxy trong trình duyệt từ một phiên kiểm tra được ghi lại.
Mở tài nguyênXem những lớp định tuyến nào thường kiểm soát DNS của ứng dụng và DNS của thiết bị.
Mở tài nguyên