DNS həlledici qeydləri və VPN bağlantı qeydləri: hər biri nəyi saxlayır

DNS həlledici qeydi və VPN bağlantı qeydi hər ikisi şəbəkə qeydidir, hər ikisi faydalıdır və bir-birini əvəz etmir. Həlledici ona cavab verməsi istənilən adları qəbul edir. VPN son nöqtəsi tunel bağlantılarını idarə edir və tətbiqinin onlar haqqında nəyi qeyd etməyi seçdiyini yazır. Onlar eyni binada yerləşə, eyni komanda tərəfindən idarə oluna və eyni məxfilik bildirişi ilə əhatə oluna bilər, amma yenə də müxtəlif identifikatorlar və müxtəlif saxlama müddətləri ilə müxtəlif hadisələri təsvir edirlər. Birini digəri kimi oxumaq araşdırmaların yoldan çıxdığı yoldur.

İki qeyd, iki hadisə

Həlledici yazısı adlandırma ilə bağlı suala cavab verir: bu müştəri bu adı bu vaxt istədi və cavab bu idi. VPN yazısı isə bağlantılılıqla bağlı suala cavab verir: bu həmkar tunel qurdu və ya itirdi, ona bu ünvan verildi və getməzdən əvvəl təxminən bu qədər məlumat ötürdü. Heç biri istifadəçinin HTTPS sessiyası daxilində nə etdiyinin qeydi deyil və heç biri digərini əvəz etmir.

Bu fərqin vədlər üçün praktiki nəticəsi var. VPN provayderinin tunel fəaliyyətini qeyd etmədiyi barədə bəyanat onun təqdim etdiyi həlledici haqqında heç nə demir, həlledicinin saxlama siyasəti isə tunelə kimin qoşulduğu haqqında heç nə demir. Hər iddia öz operatoruna və öz sisteminə aiddir.

Hər iki qeydi oxumazdan əvvəl sorğunu izləyin

Sorğu həllediciyə yalnız yol həqiqətən ondan soruşduqda çatır. Tətbiq əməliyyat sisteminin həlledicisindən istifadə edə, öz şifrələnmiş DNS müştərisini işə sala və ya keşlənmiş cavabı oxuyub heç nə göndərməyə bilər. Yəni heç nə göstərməyən həlledici qeydi bir adın heç vaxt istifadə olunmadığına dəlil deyil; bu, həmin həlledicinin sorğulanmadığına dəlildir.

resolvectl status
dig @127.0.0.53 build.corp.example +qr
journalctl -u systemd-resolved -n 20 --no-pager

Son əmr yerli həlledicinin öz jurnalını oxuyur, bu isə yuxarı axın serverinin qeydi ilə eyni şey deyil. Əgər sorğularınız DNS over HTTPS ilə bir provayderə çıxırsa, yerli stub heç nə göstərməyə bilər, halbuki provayderdə tam qeyd var və provayder fərqli siyasəti olan fərqli operatordur.

Hər qeydin nəyi göstərə bildiyi və bilmədiyi

Onları birləşdirmək əsas işin olduğu yerdir və birləşdirmək həmişə mümkün deyil. Müştəri ünvanlarını qeyd edən həlledici, ünvanları məlum hovuzdan təyin edən VPN ilə müqayisə oluna bilər və bu müqayisə sorğulanan ad ilə tunel arasında inandırıcı əlaqə yaradır, bu isə iki qeyd arasında əlaqə olaraq qalır, bir insanın qeydi deyil.

Şifrələnmiş DNS nəqliyyatı dəyişir, son nöqtədə görünürlüyü deyil. Həlledici cavab verdiyi sualı yenə də alır, RFC 8484 bunu aydın göstərir və həmin həlledicidə saxlama protokolun xüsusiyyəti deyil, siyasət qərarıdır.

Bölünmüş DNS və keşlər hekayəni harada qarışdırır

Bir neçə həlledici normaldır. Bölünmüş DNS dizaynı daxili adları daxili serverə, qalan hər şeyi isə açıq serverə göndərir, buna görə də bir araşdırma heç vaxt birləşdirilməsi nəzərdə tutulmamış iki qeydi və heç vaxt müqayisə edilməsi nəzərdə tutulmamış iki saxlama ayarını əhatə edə bilər. Hər ikisində sorğuları görmək dizaynın işlədiyinə dəlildir, sızma dəlili deyil.

Keşlər əks istiqamətdə kəsir. Populyar ad saatlarla keşdən cavablandırıla bilər, buna görə həlledicinin qeydi ilk sorğunu göstərir, sonra heç nə göstərmir, halbuki istifadəçinin tətbiqi həmin adı rahat şəkildə həll etməyə davam edir. Müəyyən vaxtdan sonra girişlərin olmaması o vaxtdan sonra heç kimin adı istifadə etmədiyi anlamına gəlmir.

Fon trafiki üçüncü təhrifdir. Yüklənmə zamanı telemetriya adını həll edən telefon, axtarış təklifi domenini həll edən brauzer və hər saat yoxlama aparan yeniləyici, hamısı həlledici qeydində həqiqətən vacib olan adın yanında görünür. O qeyddəki həcm diqqət deyil və sorğuları saymaq ziyarətləri saymaq deyil. Həlledici qeydi sualların qeydidir və suallar yaratmaq üçün ucuzdur.

Saxlama suallarını ayrıca verin

Hər sistem üçün üç sual verin: kim toplayır, nə toplanır və nə qədər saxlanılır. Sonra soruşun ki, bunu kim oxuya bilər və hansı proseslə. RFC 8484-ün DNS over HTTPS müzakirəsi şifrələnmiş nəqliyyatın son nöqtəni aradan qaldırmadığını yaxşı xatırladır və operatorun öz sənədləri həmin son nöqtənin nə saxladığı barədə yeganə etibarlı bəyanatdır.

Məxfiliklə bağlı bir iddia “VPN” haqqında irəli sürüldükdə, onu qəbul etməzdən əvvəl komponentlərə bölün: tunel operatoru, tunelin təqdim etdiyi həlledici, o sorğuların çatdığı istənilən yuxarı həlledici və cihazdakı tətbiqlər. Hər birinin öz cavabı var və biri üçün doğru olan iddia adətən dördünü əhatə edirmiş kimi təkrarlanır.

Nasazlıqların aradan qaldırılması üçün eyni bölgüdən istifadə edin. Sorğunu hansı tətbiqin etdiyini və hansı həlledicinin cavab verdiyini soruşun, sonra həmin hadisəyə həqiqətən sahib olan qeydə baxın. Digər qeyddən təxmin etmək bir dəqiqə qazandırır və bir günorta baha başa gəlir.