Jou VPN-DNS-terugval: waarheen die navraag werklik gaan

Sodra 'n oplosser-instelling van die private adres na 'n publieke een oorskakel, kom die gevolgtrekking dadelik: die tonnel lek. Soms is dit so. Dikwels het die terugval-navraag steeds binne die tonnel na 'n oplosser gereis wat die administrateur gekies het, wat dit 'n beleidsbesluit maak eerder as 'n gebrek. Om daardie gevalle te skei, verg drie feite eerder as een, en die eerste daarvan is wie geantwoord het. Kom uit wie die navraag ontvang het, watter roete dit gedra het en na watter name gevra is.

Terugval is 'n beleid, nie 'n enkele gedrag nie

Elke kliënt moet besluit wat om te doen wanneer die voorkeuroplosser ophou antwoord. Dit kan die oplossing blokkeer, weer probeer, 'n gekonfigureerde alternatief gebruik of dit aan die bedryfstelsel oorlaat, en dit is vier verskillende produkte uit 'n privaatheidsoogpunt. Om die instellingskerm te lees, sê vir jou watter gedrag gekonfigureer is; dit sê nie vir jou watter een plaasgevind het nie. 'n Skerm wat een skakelaar bied, beskryf nie vier moontlikhede nie.

Blaaiers voeg hul eie laag by. 'n blaaier met veilige DNS geaktiveer kan 'n naam deur sy eie gekose verskaffer oplos selfs wanneer die bedryfstelsel elders wys, wat beteken dat die tonnelkliënt se beleid dalk nooit geraadpleeg word vir die versoeke waaroor jy werklik omgee nie. Kontroleer die toepassing wat die versoek gemaak het, nie net die stelselinstelling nie.

Die identiteit van die vervangingsoplosser is die eerste feit wat die moeite werd is om vas te stel. 'n Publieke oplosser wat aan 'n verskaffer behoort wat jy reeds vertrou, is 'n ander situasie as 'n adres wat deur die netwerk verskaf word waarop jy toevallig is. Die adres self sê selde watter van die twee jy sien.

Wie ontvang die navraag ná die oorskakeling

Die ontvanger en die roete is onafhanklik, en net hul kombinasie beskryf die blootstelling. 'n Publieke oplosser wat deur die tonnel bereik word, sien nooit jou toegangsnetwerkadres nie, terwyl dieselfde oplosser wat direk bereik word, dit wel sien. Beide gevalle lewer 'n antwoord, en 'n lektoets wat net die oplosseradres rapporteer, sal hulle identies beskryf. Vra vir die koppelvlak sowel as die adres wanneer jy die resultaat lees.

Interne name maak die onderskeid konkreet. 'n Publieke oplosser kan gewoonlik nie 'n split-horizon-naam beantwoord nie, so die navraag misluk terwyl die naam steeds aan 'n party bekend gemaak is wat geen besigheid gehad het om dit te sien nie. Beskikbaarheid en privaatheid beweeg dus hier saam eerder as om af te ruil.

'n Tonnel kan ook die navraag na 'n oplosser dra wat nie deur die VPN-verskaffer bedryf word nie, want die tonnel stuur aan eerder as om op te los. Die aanstuur-gasheer sien die gewone-teks-navraag en maak dan sy eie verbinding verder oop, wat die volgende hop beskerm sonder om die eerste een te beskerm.

Kontroleer die roete en die ontvanger saam

Observeer die pakkette eerder as die konfigurasie. Vra die stelsel watter oplosser gebruik sou word, en bevestig dan dat die navraag werklik van die verwagte koppelvlak na die verwagte adres vertrek het.

resolvectl status | grep -E "Current DNS Server|DNS Servers|DNSOverTLS"
dig +short example.com
tcpdump -ni any udp port 53 or tcp port 853

As die opname wys dat die navraag die fisiese koppelvlak verlaat terwyl die tonnel op is, het die terugval die tonnel omseil ongeag wat die oplosserlys sê. As dit op die tonnelkoppelvlak verskyn, word die vraag wie die verre kant bedryf en wat dit behou.

Herhaal die kontrole vir een interne naam en een publieke naam. Die interne navraag is waar 'n terugval-konfigurasie homself gewoonlik openbaar, want 'n oplosser wat nie kan antwoord nie, ontvang steeds die vraag.

Besluit of die terugval toegelaat moet word

As die vereiste is dat oplossing stop wanneer die voorkeuroplosser onbeskikbaar is, konfigureer 'n afdwingingsbeleid wat geslote misluk en aanvaar die gevolg: name sal nie tydens 'n onderbreking oplos nie. Dit is 'n doelbewuste beskikbaarheidsruil eerder as 'n fout, en die ontwerp behoort dit te sê voordat die onderbreking gebeur.

As die vereiste net is dat navrae nie buite die tonnel mag reis nie, kan 'n publieke oplosser wat deur die tonnel bereik word aanvaarbaar wees mits die operateur en sy bewaringsbeleid verstaan word. Daardie aanvaarding is 'n oordeel oor 'n derde party eerder as 'n stelling oor kriptografie, en dit behoort aan wie ook al die privaatheidsaanspraak besit. As interne name moet bly werk, moet die terugval 'n oplosser wees wat die interne sones hou, wat gewoonlik beteken die terugval-teiken is 'n ander bediener eerder as 'n ander adresfamilie.

Dokumenteer die uitkoms as 'n sin oor gedrag: watter oplosser ontvang navrae in normale werking, watter een ontvang hulle ná 'n fout, en of interne name in die tweede geval oplos. 'n Lektoets wat uiteindelik 'n bladsy laai, bewys minder as daardie sin, want 'n bladsy kan laai deur 'n oplosser wat nooit geraadpleeg moes word nie.