VPN DNS ehtiyat mexanizminiz: sorğu həqiqətən hara gedir

Rezolver parametri şəxsi ünvandan açıq ünvana keçdikdə nəticə dərhal gəlir: tunel sızır. Bəzən belədir. Çox vaxt ehtiyat sorğu yenə də tunelin içində administratorun seçdiyi rezolverə gedirdi və bu, qüsurdan çox siyasət qərarıdır. Bu halları ayırmaq üçün bir yox, üç fakt lazımdır və birincisi kimin cavab verdiyidir. Sorğunu kimin aldığını, hansı marşrutun apardığını və hansı adların soruşulduğunu öyrənin.

Ehtiyat mexanizm siyasətdir, tək davranış deyil

Hər müştəri üstünlük verilən rezolver cavab verməyi dayandırdıqda nə etməyi qərarlaşdırmalıdır. O, həlli bloklaya, yenidən cəhd edə, konfiqurasiya edilmiş alternativdən istifadə edə və ya əməliyyat sisteminə buraxa bilər və məxfilik baxımından bunlar dörd fərqli məhsuldur. Parametrlər ekranını oxumaq hansı davranışın konfiqurasiya edildiyini deyir; hansının baş verdiyini demir. Bir açar təklif edən ekran dörd imkanı təsvir etmir.

Brauzerlər öz qatlarını əlavə edir. Təhlükəsiz DNS aktivləşdirilmiş brauzer əməliyyat sistemi başqa yerə yönəltsə belə, adı öz seçdiyi provayder vasitəsilə həll edə bilər, bu da o deməkdir ki, tunel müştərisinin siyasəti sizin həqiqətən əhəmiyyət verdiyiniz sorğular üçün heç vaxt nəzərə alınmaya bilər. Sorğunu göndərən tətbiqi yoxlayın, yalnız sistem parametrini deyil.

Əvəzedici rezolverin kimliyi müəyyənləşdirməyə dəyər ilk faktdır. Artıq etimad etdiyiniz provayderə aid açıq rezolver, təsadüfən qoşulduğunuz şəbəkənin verdiyi ünvandan fərqli bir vəziyyətdir. Ünvan özü nadir hallarda bunlardan hansına baxdığınızı deyir.

Keçiddən sonra sorğunu kim alır

Alıcı və marşrut bir-birindən asılı deyil və yalnız onların birləşməsi məruz qalmanı təsvir edir. Tunel vasitəsilə çatılan açıq rezolver heç vaxt sizin giriş şəbəkəsi ünvanınızı görmür, eyni rezolverə birbaşa çatdıqda isə görür. Hər iki hal cavab verir və yalnız rezolver ünvanını bildirən sızma testi onları eyni cür təsvir edəcək. Nəticəni oxuyarkən ünvanla yanaşı interfeysi də soruşun.

Daxili adlar fərqi konkretləşdirir. Açıq rezolver adətən split-horizon adına cavab verə bilmir, ona görə sorğu uğursuz olur, halbuki ad hələ də onu görməyə heç bir işi olmayan tərəfə açıqlanıb. Buna görə burada əlçatanlıq və məxfilik bir-birini əvəz etmir, birlikdə hərəkət edir.

Tunel sorğunu VPN provayderinin idarə etmədiyi rezolverə də apara bilər, çünki tunel həll etmir, yönləndirir. Yönləndirən host açıq mətndəki sorğunu görür və sonra öz bağlantısını irəli açır; bu, növbəti hopu qoruyur, birincisini qorumur.

Marşrutu və alıcını birlikdə yoxlayın

Konfiqurasiyanı deyil, paketləri müşahidə edin. Sistemdən hansı rezolverin istifadə olunacağını soruşun, sonra sorğunun həqiqətən gözlənilən interfeysdən gözlənilən ünvana çıxdığını təsdiqləyin.

resolvectl status | grep -E "Current DNS Server|DNS Servers|DNSOverTLS"
dig +short example.com
tcpdump -ni any udp port 53 or tcp port 853

Əgər tutma tunel açıq ikən sorğunun fiziki interfeysdən çıxdığını göstərirsə, rezolver siyahısının nə dediyindən asılı olmayaraq ehtiyat tuneli yan keçib. Əgər o, tunel interfeysində görünürsə, sual uzaq tərəfi kimin idarə etdiyinə və nə saxladığına çevrilir.

Yoxlamanı bir daxili və bir açıq ad üçün təkrarlayın. Ehtiyat konfiqurasiyası adətən daxili sorğuda özünü göstərir, çünki cavab verə bilməyən rezolver yenə də sualı alır.

Ehtiyat mexanizminə icazə verilməlidirmi, qərar verin

Tələb üstünlük verilən rezolver əlçatan olmadıqda həllin dayanmasıdırsa, qapalı şəkildə uğursuz olan icra siyasəti konfiqurasiya edin və nəticəni qəbul edin: adlar kəsinti zamanı həll olunmayacaq. Bu, nasazlıq deyil, qəsdən edilmiş əlçatanlıq mübadiləsidir və dizayn bunu kəsintidən əvvəl deməlidir.

Tələb yalnız sorğuların tuneldən kənara çıxmamasıdırsa, tunel vasitəsilə çatılan açıq rezolver operatoru və onun saxlama siyasəti anlaşıldıqda məqbul ola bilər. Bu qəbul kriptoqrafiya haqqında bəyanat deyil, üçüncü tərəf haqqında mühakimədir və məxfilik iddiasına sahib olan hər kəsə aiddir. Daxili adlar işləməyə davam etməlidirsə, ehtiyat daxili zonaları saxlayan rezolver olmalıdır, bu da adətən ehtiyat hədəfinin fərqli ünvan ailəsi deyil, fərqli server olması deməkdir.

Nəticəni davranış haqqında bir cümlə kimi sənədləşdirin: normal işdə hansı rezolver sorğuları alır, nasazlıqdan sonra hansı alır və ikinci halda daxili adlar həll olunurmu. Nəhayət səhifə yükləyən sızma testi bu cümlədən azını sübut edir, çünki səhifə heç vaxt müraciət edilməməli olan rezolver vasitəsilə də yüklənə bilər.