DNS-də ölkə etiketi niyə VPN sızmasını sübut etmir

Xarici görünən resolver ünvanları DNS test nəticələrində daim görünür və insanların gəldiyi nəticə həmişə eynidir: sorğular tuneldən çıxmış olmalıdır. Bəzən həqiqətən çıxıb. Daha çox halda hesabat hansı rekursiv xidmətin cavab verdiyini və hansı verilənlər bazasının həmin ünvanı harada yerləşdirdiyini təsvir edir, bu isə paketləriniz haqqında deyil, infrastruktur haqqında bir ifadədir. Müşahidəni nəticədən ayırmaq üçün üç fakt lazımdır: kim cavab verdi, ad necə getdi və siz əslində hansı siyasəti qurdunuz.

Testin əslində nə müşahidə etdiyini oxuyun

Əksər test səhifələri eyni şəkildə işləyir: müştəridən unikal host adını həll etməsini xahiş edir, sonra onu hansı resolverin gətirdiyini axtarır, ya da sadəcə müştərinin bildirdiyi resolver ünvanını göstərir. Bu, rekursiv xidməti və sorğu müştəri altşəbəkə məlumatı daşıyıbsa, təxmini şəbəkə yerini müəyyən edir. Bu, sorğunun cihazdan tuneldən kənara çıxdığını sübut etmir və əlbəttə ki, hər ad üçün eyni yolun istifadə olunduğunu sübut etmir. Bir axtarışın tək müşahidəsi bütün trafik haqqında iddiaya ümumiləşdirilir.

Resolver ünvanını göstərən test ölkə nişanından daha faydalıdır, çünki ünvanı müştərinin həqiqətən aldığı resolver siyahısı ilə müqayisə etmək olar.

Anycast və yönləndirmə sürprizlərin çoxunu izah edir

Böyük ictimai resolverlər eyni ünvanı bir çox yerdən elan edir və şəbəkə hər sorğunu marşrut baxımından ən yaxın olan sayta yönləndirir. Sonra geolokasiya verilənlər bazası həmin ünvanı tək bir yerə bağlayır; bu, başqa qitədə korporativ qeydiyyat ünvanı və ya cavab verən olmayan məlumat mərkəzi ola bilər. RFC 4786 anycast xidmətləri üçün əməliyyat praktikasını və belə bir ünvanı bir fiziki yerə bağlamağın çətinliyini əhatə edir. Xəritə marşrut qərarının sadələşdirilməsidir və o, narahat edən nəticələr verən istiqamətdə sadələşdirir.

Yönləndirmə ikinci bir qat əlavə edir. Lokal stub resolver, marşrutlaşdırıcı və ya ISP resolveri sorğuları yuxarı xidmətə ötürə bilər və testdə görünən ad həmin zəncirdə birinci deyil, sonuncu operatoru əks etdirir. Müştəri altşəbəkə uzantıları yuxarı cavabı şəbəkənizə uyğunlaşdıra bilər, eyni zamanda bildirilən məkanı heç vaxt getmədiyiniz bir yer kimi göstərə bilər.

Beləliklə, konfiqurasiya edilmiş resolver düzgün ola bilər və yenə də xarici görünən nəticə verə bilər, öz ölkənizdəki resolver isə səhv ola bilər, çünki seçmədiyiniz bir tərəfə aiddir.

Adı kim aldı və hansı marşrutla

Praktik hissəyə iki sual cavab verir: müştəri hansı serverdən istifadə edir və həmin serverə tuneldən keçməklə çatılır. Marşrutla bağlı nəticə çıxarmazdan əvvəl resolver siyahısını test nəticəsindəki ünvanla müqayisə edin, sonra həmin ünvana gedən sorğunun tunel interfeysindən çıxdığını yoxlayın. Əgər iki ünvan fərqlidirsə, maraqlı tapıntı nəyinsə nəzərdə tutulan resolveri yenidən yazdığı və ya ondan yan keçdiyidir ki, bu da ölkə adından daha yaxından baxmağa dəyər.

resolvectl query example.com
resolvectl status | grep -A3 'DNS Servers'
dig +short TXT whoami.akamai.net

Birinci əmr hansı serverin bir ad üçün cavab verdiyini göstərir, ikincisi konfiqurasiya edilmiş siyahını və onun əhatəsini göstərir, üçüncüsü isə resolver ünvanını ictimai xidmətin gördüyü kimi bildirir. Üçü də uyğun olduqda, ölkə etiketi nə deyirsə-desin, siyasət konfiqurasiya edildiyi işi görür.

Seçdiyiniz siyasətlə müqayisə edin

Resolver tələb edən VPN, öz şifrəli DNS-indən istifadə etmək üçün konfiqurasiya edilmiş brauzer və bir interfeysin parametrlərini üstün tutan əməliyyat sistemi ayrı-ayrılıqda düzgün ola bilər, halbuki birlikdə ziddiyyət yaradırlar. Müasir brauzerlər sorğuları brauzerdə seçilmiş provayderə şifrəli nəql vasitəsilə göndərə bilər və bu, sistemin resolver siyahısından qəsdən yan keçir. Bu, pozulmuş tunel mənasında sızma deyil; bu, başqa yerdə seçilmiş siyasətdir və onun harada seçildiyini tapmaq əsl vəzifədir.

İş cihazları domenə xas qaydalar əlavə edir: daxili adlar təşkilatın resolverinə getməlidir, qalan hər şey isə standartı izləyir. Test səhifəsi gözlənilməz bir ölkə göstərdiyi üçün bu düzəni əvəz etmək, daxili adların bütöv bir komanda üçün həll olunmasını dayandırmasının yoludur.

Testləri dar və təhlükəsiz saxlayın

Daxili host adı üçün ictimai test xidmətinə sorğu göndərmək adı onunla heç bir işi olmayan tərəfə açır və cavab sizə resolver siyahısını lokal oxumağın verməyəcəyi heç nə demir.

Əvəzində infrastrukturu göstərən adlardan istifadə edin, resolver ünvanını, əhatəsini və istifadə olunan interfeysi qeyd edin və bu qeydi sənədləşdirilmiş niyyətlə müqayisə edin. Xəritə etiketi keçdi və ya kəsildi nəticəsi deyil, söhbət üçün kontekstdir və ona hökm kimi yanaşmaq diaqnoz yerinə konfiqurasiya dəyişikliyi yaradır.