Waarom ’n DNS-landetikket nie ’n VPN-lek bewys nie

Vreemdsoortige oplosseradresse duik gedurig in DNS-toetsuitslae op, en die gevolgtrekking wat mense maak is altyd dieselfde: die navrae moes uit die tonnel ontsnap het. Soms het hulle. Dikwels beskryf die verslag watter rekursiewe diens geantwoord het en waar ’n databasis dink daardie adres lê, en dit is ’n stelling oor infrastruktuur eerder as oor jou pakkette. Om die waarneming van die afleiding te skei, verg drie feite: wie het geantwoord, hoe het die naam gereis, en watter beleid jy werklik opgestel het.

Lees wat die toets werklik waargeneem het

Die meeste toetsbladsye werk dieselfde: hulle vra die kliënt om ’n unieke gasheernaam op te los en soek dan watter oplosser dit gaan haal het, of hulle herhaal bloot die oplosseradres wat die kliënt rapporteer. Dit identifiseer ’n rekursiewe diens en, as die navraag kliënt-subnetinligting gedra het, ’n rowwe netwerklokasie. Dit bewys nie dat die navraag die toestel buite die tonnel verlaat het nie, en dit bewys beslis nie dat dieselfde pad vir elke naam gebruik is nie. ’n Enkele waarneming van een opsoek word veralgemeen tot ’n bewering oor alle verkeer.

’n Toets wat die oplosseradres wys, is nuttiger as ’n landkenteken, want ’n adres kan vergelyk word met die oplosserlys wat die kliënt werklik ontvang het.

Anycast en deurstuur verduidelik die meeste verrassings

Groot openbare oplossers kondig dieselfde adres vanaf baie plekke aan, en die netwerk stuur elke navraag na die werf wat in roeteterme die naaste is. ’n Geolokasiedatabasis karteer daardie adres dan na ’n enkele plek, wat ’n korporatiewe registrasieadres op ’n ander kontinent kan wees of ’n datasentrum wat nie die een is wat antwoord nie. RFC 4786 dek operasionele praktyk vir anycast-dienste en die moeilikheid om so ’n adres aan een fisiese plek te koppel. Die kaart is ’n vereenvoudiging van ’n roetebesluit, en dit vereenvoudig in die rigting wat kommerwekkende resultate lewer.

Deurstuur voeg ’n tweede laag by. ’n Plaaslike stomp-oplosser, ’n roeteerder of ’n ISP-oplosser kan navrae aan ’n opstroomdiens deurgee, en die naam wat in die toets verskyn, weerspieël die laaste operateur in daardie ketting eerder as die eerste. Kliënt-subnetuitbreidings kan ’n opstroomantwoord laat pas by jou netwerk terwyl die gerapporteerde ligging lyk soos ’n plek waar jy nog nooit was nie.

’n Opgestelde oplosser kan dus korrek wees en tog ’n vreemd voorkende resultaat lewer, en ’n oplosser in jou eie land kan steeds die verkeerde een wees omdat dit aan ’n party behoort wat jy nie gekies het nie.

Wie het die naam ontvang, en langs watter roete

Twee vrae beantwoord die praktiese deel: watter bediener gebruik die kliënt, en word daardie bediener deur die tonnel bereik. Vergelyk die oplosserlys met die adres in die toetsuitslag voordat jy gevolgtrekkings oor roetebepaling maak, en kyk dan dat die navraag na daardie adres deur die tonnelkoppelvlak vertrek. As die twee adresse verskil, is die interessante bevinding dat iets die bedoelde oplosser herskryf of omseil het, wat ’n nouer blik werd is as die landnaam.

resolvectl query example.com
resolvectl status | grep -A3 'DNS Servers'
dig +short TXT whoami.akamai.net

Die eerste opdrag wys watter bediener vir ’n naam geantwoord het, die tweede wys die opgestelde lys en sy omvang, en die derde rapporteer die oplosseradres soos ’n openbare diens dit sien. Wanneer al drie ooreenstem, doen die beleid wat dit opgestel is om te doen, ongeag wat die landetikket sê.

Vergelyk met die beleid wat jy gekies het

’n VPN wat ’n oplosser stoot, ’n blaaier wat opgestel is om sy eie geënkripteerde DNS te gebruik, en ’n bedryfstelsel wat die instellings van een koppelvlak verkies kan elkeen afsonderlik korrek wees terwyl hulle gesamentlik bots. Moderne blaaiers kan navrae oor ’n geënkripteerde kanaal na ’n verskaffer stuur wat in die blaaier gekies is, wat die stelsel se oplosserlys doelbewus omseil. Dit is nie ’n lek in die sin van ’n gebreekte tonnel nie; dit is ’n beleid wat elders gekies is, en om te vind waar dit gekies is, is die werklike taak.

Werksaamhede se toestelle voeg domeinspesifieke reëls by: interne name moet na die organisasie-oplosser gaan terwyl alles anders die verstek volg. Om daardie reëling te vervang omdat ’n toetsblad ’n onverwagte land gewys het, is hoe interne name vir ’n hele span ophou oplos.

Hou toetse smal en veilig

Om ’n openbare toetsdiens vir ’n interne gasheernaam te bevraag, openbaar die naam aan ’n party wat geen besigheid daarmee het nie, en die antwoord sê jou niks wat ’n plaaslike lees van die oplosserlys nie sou sê nie.

Gebruik eerder name wat infrastruktuur onthul, teken die oplosseradres, die omvang en die gebruikte koppelvlak aan, en vergelyk daardie rekord met die gedokumenteerde bedoeling. ’n Kaartetikket is konteks vir ’n gesprek eerder as ’n slaag- of druipuitslag, en om dit as ’n vonnis te behandel, lewer konfigurasieverandering in die plek van diagnose.