من يدير 1.1.1.1؟ التحقق من عنوان DNS قبل الوثوق به
عنوان DNS المستخدم مع VPN ليس بالضرورة مشغّلًا من ذلك الـVPN. حدّد المُحلِّل، ثم افحص المسار وسياسة الأسماء الخاصة كلًا على حدة.
لصقت 1.1.1.1 في حقل DNS الخاص بالـVPN، وحُمّلت الصفحة، ويبدو الدليل الآن مؤكدًا. هذه الملاحظة أضيق مما تبدو: تصرف التطبيق بشكل مختلف، والتغيير لم يقل بعد شيئًا عن من أجاب الاستعلام أو لماذا فشل الترتيب القديم. كثيرًا ما يسمي دليل منسوخ عنوانًا عامًا مألوفًا «DNS الخاص بالـVPN»، وهذا ادعاء عن الملكية لا عن الوصول. التحقق مما يمثله العنوان يستغرق خمس دقائق ويمنع تغييرًا دائمًا جرى للسبب الخطأ.
الإعداد الذي يعمل ليس هوية
العنوان في حقل الإعدادات هو نقطة نهاية، ولنقطة النهاية مشغّل. هاتان الحقيقتان منفصلتان، والثانية هي ما يتخطاه الناس. بالنسبة للزوج الأكثر نسخًا، الجواب علني: تنشر Cloudflare 1.1.1.1 و 1.0.0.1 كعنواني المُحلِّل الخاص بها وتدرجهما في مرجع العناوين الرسمي الخاص بها. لهذا ينتمي اسم المشغّل إلى جانب العنوان، لا إلى دليل منفصل.
إدخال ذلك الزوج أثناء عمل النفق لا يجعل شركة الـVPN مشغّلة له ولا يجعل حركة المرور مجهولة. يغادر الاستعلام جهازك نحو شركة تنشر نطاق العناوين، وقد تكون تلك الشركة حسنة السمعة ومع ذلك ليست الطرف الذي أشار إليه الدليل. التسمية في التعليمات والمشغّل في الواقع ادعاءان مختلفان. لا يقول أي منهما من يدير مسار الشبكة بينهما.
استخدم المرجع المنشور للمُحلِّل نفسه لتأكيد زوج عناوين أو نقطة نهاية مشفّرة. قد تكون توصية مورّد آخر مشروعة، و«موصى به من» و«يُوصل إليه عبر» و«يُدار بواسطة» لا تزال تصف ثلاث علاقات مختلفة.
قارن الأمور الثلاثة التي يحتاجها السجل
السجل الجاهز للمراجعة يفصل ثلاثة أسئلة: من ينبغي أن يتلقى الاستعلام، وهل التبادل عادي أم مشفّر، وأي مسار ينبغي أن يحمله. لا يستطيع اسم المزوّد ملء الثاني أو الثالث، ولا تستطيع تسمية البلد ملء أي منها. اكتب المدخلات الثلاثة قبل التغيير وقارنها بعده. تلك المدخلات غير قابلة للتبادل، ومعاملتها كواحد هي الطريقة التي يصبح بها التخمين وثيقة.
المقارنة هي ما يحوّل إعدادًا يعمل إلى قرار موثّق. بدونها يرث الشخص التالي عنوانًا بلا أي سبب مرفق. اقرأ أولًا العمود الثالث من الجدول أدناه، لأن معظم التفسيرات الواثقة تتوقف هناك فعليًا.
| Entry | What it records | What it cannot tell you |
|---|---|---|
| Recipient | Which resolver should answer | Who operates the path to it |
| Transport | Plain DNS or an encrypted variant | Whether names stay private |
| Path | Which interface carries the query | Which upstream answers last |
الجدول قصير عمدًا. فكرته أن كل مدخل يجيب عن سؤال مختلف، ولا يملأ أي حقل واحد الثلاثة.
الممرّر المحلي يخفي المصدر الحقيقي
الجهاز المهيّأ لاستخدام موجّهه كـDNS يشير إلى ممرّر. ذلك العنوان يحدد المتلقي التالي للاستعلام، لا المُحلِّل الذي يجيب عنه في النهاية. مُحلِّل stub محلي يضيف الخطوة الإضافية نفسها، ويسهل الخلط بينه وبين الشيء الحقيقي لأنه يظهر في كل إخراج حالة.
يمرّر الـstub إلى مصادر يسردها الإخراج نفسه أيضًا، عادةً إلى الأسفل. اقرأ السلسلة كاملة قبل أن تستنتج أي شيء عن المشغّل، لأن السطر الأول ليس الجواب كله. وإلا فأنت تسمّي مكتب الاستقبال الشركة.
resolvectl status | grep -A4 'Current DNS Server'
dig +short CH TXT whoami.cloudflare @1.1.1.1
dig example.com | grep -E '^;; SERVER'الأمر الثاني يستخدم اسم الصدى للمُحلِّل، حيث ينشر المشغّل واحدًا، للإبلاغ عن عنوان المصدر الذي يراه. الثالث يذكر الخادم الذي أجاب، وهو غالبًا ليس العنوان الذي هيّأته. قارن الإخراجات الثلاثة قبل أن تكتب مشغّلًا.
DNS المشفّر يغيّر ما هو مرئي، لا من يراه
يحمي DNS over HTTPS وDNS over TLS التبادل بين العميل والمُحلِّل. لا يزال المُحلِّل يقرأ كل اسم يُسأل عنه، لأن الإجابة هي عمله. ما يتغيّر هو من يستطيع مراقبة التبادل: ترى الشبكة المحلية اتصالًا بنقطة نهاية واحدة بدلًا من تدفق استعلامات بنص صريح.
ما لا يتغيّر هو علاقة الثقة، التي لا تزال تشير إلى المنظمة التي تدير تلك النقطة. قد يتجاوز متصفح له إعداد DNS آمن خاص به مُحلِّل نظام التشغيل تمامًا. تعامل معهما كتهيئتين قد تختلفان، لا كإعداد واحد طُبّق مرتين.
الأسماء الخاصة تحتاج قرارها الخاص مرة أخرى. قد يوجّه نفق العمل نطاقات مختارة إلى مُحلِّلات المنظمة، واستبداله بخدمة عامة قد يكسر البحث الداخلي أو يكشف الأسماء الداخلية للطرف الخطأ. افحص سياسة النطاقات قبل استبدال إعدادات محوّل كامل.
أبقِ الملاحظة ضيقة
عند المقارنة، احتفظ بالتهيئة القديمة وغيّر إعدادًا واحدًا في كل مرة. سجّل التطبيق والعملية وسياسة المُحلِّل وما إذا كانت الأسماء العامة والخاصة المسموح بها ما زالت تُحلّ بعد إعادة الاتصال. مقارنة فيها تغييران لا تثبت أيًا منهما. اكتب النتيجة حيث سيجدها الشخص التالي، بجوار الإعداد نفسه.
resolvectl query intranet.corp.example
resolvectl domain
dig +short @1.1.1.1 example.comإذا بدأ التطبيق يعمل، فأبقِ الادعاء صغيرًا بقدر ما تسمح الأدلة. ذلك التغيير ساعد اختبارًا واحدًا، ولا يقول شيئًا عن ما إذا كان المُحلِّل السابق تصرف بسوء نية، أو كان النفق معطلًا، أو كانت هناك حاجة لجهاز آخر إلى الاستبدال نفسه. النتيجة الدائمة هي تهيئة تستطيع شرح مشغّلها وغرضها.