VPN DNS-iniz həqiqətən istifadə olunurmu? 53-cü portu tutun və görün

Əksər insanlara VPN klientinin DNS ilə nə etdiyini soruşun, deyəcəklər ki, o, həlledicini qurur, ona görə sorğular tunelin içində gedir. İtilmə həqiqətdir; onun sorğuya çevrildiyi fərziyyəsi deyil. İtilmiş seçimlə naqildəki paket arasında üç mərhələ dayanır və hər biri müstəqil şəkildə elə uğursuz olur ki, hamısı xarab DNS serveri kimi görünür. Buna görə sızma testi səhifəsi və işləyən brauzer eyni anda eyni maşın barədə fərqli danışa bilər.

İtilmiş seçim sorğu deyil

Birinci mərhələ serverin parametrləri təklif etməsidir, məsələn, tunelin içində həlledici göstərən itilmiş DNS seçimi. İkinci mərhələ klientin bu parametrləri interfeysə tətbiq etməsidir. Üçüncü mərhələ tətbiqin həqiqətən o ünvana sorğu göndərməsidir. İkinci mərhələdə uğursuzluq seçimi bağlantı jurnalında görünən saxlayır, həlledici siyahısı isə dəyişməz qalır, üçüncü mərhələdə uğursuzluq isə tamamilə düzgün həlledici siyahısını istifadəsiz qoyur.

Əksər nasazlıq axtarışı bu üçünü birinə yığır və VPN serverini günahlandırır, halbuki adətən öz işini gördüyünü sübut edə bilən yeganə tərəf odur. Bunun əvəzinə klientin real həlledici vəziyyətini oxuyun, sonra bir sorğunun çıxışını izləyin. Bu iki müşahidə konfiqurasiyanı marşrutlaşdırmadan, marşrutlaşdırmanı siyasətdən ayırır və təxminən beş dəqiqə çəkir. Tutmaları saxlayın, çünki növbəti mühəndis onların təsvirini deyil, əvvəlini və sonrasını istəyir.

İnterfeysin həqiqətən nə saxladığını yoxlayın

Linux-da sistem həlledicisi adi fayl, NetworkManager və ya systemd-resolved ola bilər və hansının ona sahib olduğu itilmiş serverin hara düşəcəyini müəyyən edir. Komanda sətri OpenVPN prosesi sistem həlledicisini özü yeniləmir, buna görə sənədləşdirilmiş inteqrasiya up/down skripti və ya parametrləri necə tətbiq edəcəyini artıq bilən bağlantı meneceri olur. İkisini birlikdə işlətmək yarış yaratmağın səmərəli yoludur.

resolvectl status
cat /etc/resolv.conf

Windows-da siyahı hər adapter üçündür, yəni tunel adapteri daxili serverləri saxlaya bilər, fiziki adapter isə yerli olanları saxlayır və bəzi adlar üçün üstün gəlir. Aktiv olduğunu güman etdiyiniz adapteri deyil, hər ikisini müqayisə edin.

Bir sorğunu maşından kənara izləyin

Hər iki interfeysi eyni vaxtda tutun, sonra daxili həlledicidən istifadə etməli olan bir adı həll edin. Bu iki tutma heç bir konfiqurasiya çıxışının cavab verə bilmədiyini cavablandırır.

sudo tcpdump -ni tun0 port 53
sudo tcpdump -ni any port 53

Fiziki interfeysdə görünən və tuneldə heç vaxt görünməyən sorğu klientin səhv həlledici seçdiyini bildirir. Heç birində olmayan sorğu isə tətbiqin keşdən cavab verdiyini, loopback-də dinləyən stuba müraciət etdiyini və ya trafiki heç vaxt 53-cü port kimi görünməyən şifrələnmiş həlledici istifadə etdiyini bildirir. Sorğularla yanaşı cavabları da tutun, çünki tuneldən çıxan sorğuya ümumi ünvandan gələn cavab cavabın ümumiyyətlə gəlməməsindən fərqli nasazlıqdır.

Yalnız öz DNS-ini qəbul edən firewall

Kommersiya klientləri bəzən öz filtr zəncirlərini quraşdırır. Sənədləşdirilmiş bir nümunə DNS-i klientin öz həlledicisinə icazə verir və loopback olmayan interfeysdən çıxmağa çalışan bütün qalan UDP 53-cü port trafikini atır, o cümlədən istifadəçinin bilərəkdən başqa yerə yönəltdiyi trafiki. Demon sorğuları izsiz yox olur, bu da filtr kimi deyil, həlledici nasazlığı kimi oxunur.

sudo iptables -S OUTPUT
sudo iptables -S | grep -i -E 'dns|53'

Əgər atma qaydası sizin istisnanızdan əvvəl qiymətləndirilirsə, əlavə edilmiş qaydaya heç vaxt çatılmır, buna görə birinci mövqeyə daxil edin və təyinatı həqiqətən nəzərdə tutduğunuz həlledici ilə məhdudlaşdırın.

sudo iptables -I OUTPUT 1 -p udp --dport 53 -d 172.20.8.1 -j ACCEPT

Bu istisna siyasət deyil, diaqnostikdir. Əgər təchizatçı qaydası qəsdəndir, dəstəklənən təmir klienti o həllediciyə icazə vermək üçün konfiqurasiya etmək və qərarı qeyd etməkdir, çünki daxil edilmiş qayda növbəti klient yeniləməsindən sonra qalmayacaq.

Sızma səhifəsi niyə göründüyündən az sübut edir

Sızma testi səhifəsinin göstərdiyi test operatoru ilə danışan həlledicidir, maşınınızın müraciət etdiyi deyil. Xaricə rekursiya edən yerli yönləndirici öz çıxış ünvanını həmin səhifəyə qoyur və şifrələnmiş sorğular səhifəni tamamilə boş qoya bilər. Hər iki nəticə səhv oxunur, biri sızma, digəri zəmanət kimi, və heç bir oxunuş müşahidədən irəli gəlmir.

Müdafiə oluna bilən sübut tutmadır: interfeys, təyinat ünvanı, cavab və vaxt damğası. Tunel qalxmazdan əvvəl birini, sonra birini götürün və ad növbəti dəfə uğursuz olanda onları müqayisə edin. Bu cüt növbəti adama nasazlığın həll, marşrutlaşdırma və ya həlledicinin öz giriş siyasəti olduğunu da deyir.