Рэзервовы DNS вашага VPN: куды насамрэч ідзе запыт

Налада рэзалютара перамыкаецца з прыватнага адраса на публічны, і выснова прыходзіць адразу: тунель цячэ. Часам так і ёсць. Часта рэзервовы запыт усё ж ішоў унутры тунеля да рэзалютара, які выбраў адміністратар, і гэта робіць яго рашэннем палітыкі, а не дэфектам. Каб аддзяліць гэтыя выпадкі, патрэбны тры факты замест аднаго, і першы з іх — хто адказаў. Высвятліце, хто атрымаў запыт, які маршрут яго нёс і пра якія імёны пыталіся.

Рэзервовы шлях — гэта палітыка, а не адзіныя паводзіны

Кожны кліент павінен вырашыць, што рабіць, калі абраны рэзалютар перастае адказваць. Ён можа заблакаваць развязанне, паспрабаваць яшчэ раз, выкарыстаць наладжаную альтэрнатыву або пакінуць гэта аперацыйнай сістэме, і з пункту гледжання прыватнасці гэта чатыры розныя прадукты. Чытанне экрана налад кажа, якія паводзіны наладжаны; яно не кажа, якія адбыліся. Экран з адным перамыкачом не апісвае чатыры магчымасці.

Браўзеры дадаюць свой уласны слой. Браўзер з уключаным бяспечным DNS можа развязаць імя праз уласнага абранага пастаўшчыка нават тады, калі аперацыйная сістэма паказвае ў іншае месца, што азначае, што палітыка кліента тунеля можа ніколі не быць запытана для запытаў, якія вам сапраўды важныя. Праверце праграму, якая зрабіла запыт, а не толькі сістэмную наладу.

Ідэнтычнасць заменнага рэзалютара — першы факт, які варта ўсталяваць. Публічны рэзалютар, які належыць пастаўшчыку, якому вы ўжо давяраеце, — гэта іншая сітуацыя, чым адрас, прадастаўлены сеткай, у якой вы знаходзіцеся. Сам адрас рэдка кажа, на які з двух вы глядзіце.

Хто атрымлівае запыт пасля пераключэння

Атрымальнік і маршрут незалежныя, і толькі іх спалучэнне апісвае схільнасць. Публічны рэзалютар, дасягнуты праз тунель, ніколі не бачыць адрас вашай сеткі доступу, тады як той жа рэзалютар, дасягнуты напрамкі, бачыць яго. Абодва выпадкі даюць адказ, і тэст на ўцечку, які паведамляе толькі адрас рэзалютара, апіша іх аднолькава. Просіце інтэрфейс разам з адрасам, калі чытаеце вынік.

Унутраныя імёны робяць розніцу канкрэтнай. Публічны рэзалютар звычайна не можа адказаць на імя з split-horizon, таму запыт падае, хаця імя ўжо было раскрыта баку, які не меў падстаў яго бачыць. Такім чынам, даступнасць і прыватнасць тут ідуць разам, а не абменьваюцца.

Тунель можа таксама несці запыт да рэзалютара, якім не кіруе пастаўшчык VPN, бо тунель перасылае, а не развязвае. Хост, які перасылае, бачыць запыт у адкрытым тэксце і потым адкрывае сваё ўласнае злучэнне далей, што абараняе наступны крок, але не першы.

Праверце маршрут і атрымальніка разам

Назірайце за пакетамі, а не за канфігурацыяй. Спытайце сістэму, які рэзалютар быў бы выкарыстаны, затым пацвердзіце, што запыт сапраўды выйшаў з чаканага інтэрфейса на чаканы адрас.

resolvectl status | grep -E "Current DNS Server|DNS Servers|DNSOverTLS"
dig +short example.com
tcpdump -ni any udp port 53 or tcp port 853

Калі запіс паказвае, што запыт пакідае фізічны інтэрфейс, пакуль тунель актыўны, рэзервовы шлях абмінуў тунель незалежна ад таго, што кажа спіс рэзалютараў. Калі ён з'яўляецца на інтэрфейсе тунеля, пытанне становіцца тым, хто кіруе далёкім канцом і што ён захоўвае.

Паўтарыце праверку для аднаго ўнутранага і аднаго публічнага імя. Унутраны запыт — гэта месца, дзе рэзервовая канфігурацыя звычайна сябе выяўляе, бо рэзалютар, які не можа адказаць, усё ж атрымлівае пытанне.

Вырашыце, ці павінен рэзервовы шлях быць дазволены

Калі патрабаванне ў тым, каб развязанне спынялася, калі абраны рэзалютар недаступны, наладзьце палітыку выканання, якая адмаўляе закрыта, і прымеце наступства: імёны не будуць развязвацца падчас збою. Гэта свядомы абмен даступнасці, а не няспраўнасць, і дызайн павінен сказаць пра гэта да збою.

Калі патрабаванне толькі ў тым, каб запыты не выходзілі за межы тунеля, публічны рэзалютар, дасягнуты праз тунель, можа быць прымальным пры ўмове, што аператар і яго палітыка захавання зразумелыя. Такое прыняцце — гэта меркаванне пра трэці бок, а не сцвярджэнне пра крыптаграфію, і яно належыць таму, хто валодае сцвярджэннем пра прыватнасць. Калі ўнутраныя імёны павінны працягваць працаваць, рэзервовы шлях мусіць быць рэзалютарам, які трымае ўнутраныя зоны, што звычайна азначае, што мэта рэзерву — іншы сервер, а не іншае сямейства адрасоў.

Задакументуйце вынік як сказ пра паводзіны: які рэзалютар атрымлівае запыты ў звычайнай працы, які атрымлівае іх пасля збою і ці развязваюцца ўнутраныя імёны ў другім выпадку. Тэст на ўцечку, які ўрэшце загружае старонку, даказвае менш за гэты сказ, бо старонка можа загрузіцца праз рэзалютар, да якога нельга было звяртацца.