Куды ідзе DNS, калі вы спалучаеце Tor і VPN

Працуюць два інструменты прыватнасці, адна старонка не загружаецца, а тэст рэзалвера паказвае, што нешта па-за браўзерам атрымала імя. Перш чым гэта стане справаздачай пра ўцечку, назавіце абмен, з якога яно прыйшло. Канфігурацыя Tor плюс VPN змяшчае як мінімум тры розныя запыты імёнаў з трыма рознымі ўладальнікамі, і праходжанне па іх у тым парадку, у якім яны адбываюцца, — самы хуткі спосаб убачыць, які з іх паводзіць сябе няправільна.

Назавіце кожны абмен, перш чым назваць гэта ўцечкай

Першы абмен вырашае сам канчатковы пункт VPN, і ён адбываецца да таго, як з’явіцца любая абарона. Другі вырашае прызначэнне для Tor Browser, які можа перадаць імя проксі замест таго, каб вырашаць яго лакальна. Трэці ахоплівае ўсё астатняе на машыне, уключаючы праверкі абнаўленняў, паштовыя кліенты і ўласныя запыты службаў аперацыйнай сістэмы. Толькі першы з іх можа адбыцца без удзелу двух іншых.

Кожны з іх можа ісці розным шляхам, а адзіны тэст у браўзеры назірае толькі свой запыт. Менавіта з таго, што адзін вынік прымаюць за стан усіх трох, пачынаецца большасць блытаніны.

Запішыце, якія імёны належаць якому ўзроўню, перш чым нешта змяняць. Прыватныя арганізацыйныя імёны, публічнае прызначэнне і сам канчатковы пункт тунеля не маюць аднолькавых патрабаванняў, і палітыка, якая ставіць іх у адну катэгорыю, нешта зламае.

Запыт падчас загрузкі адбываецца да тунеля

Кліент, наладжаны з імем хоста, павінен вырашыць гэтае імя, каб адкрыць тунель, а ў гэты момант тунеля няма, каб перанесці запыт. Адказвае любы рэзалвер, які прапануе аперацыйная сістэма ў бягучай сетцы, — гэта можа быць палонны партал, гатэльны рэзалвер або публічны. Гэта не ўцечка ў тунелі, бо тунеля яшчэ няма.

Змена налады бяспечнага DNS у браўзеры таксама не закранае гэты запыт, бо ён належыць службе, якая працуе па-за браўзерам і запускаецца раней за адкрыццё любой старонкі. Калі імя канчатковага пункта не вырашаецца, ніякая палітыка ўнутры тунеля не дапаможа, бо збой адбываецца на адзін этап раней за ўсё, што апісвае канфігурацыя.

Гэта адзінае месца, дзе выкарыстанне літаральнага адраса для канчатковага пункта, калі правайдэр гэта падтрымлівае, выдаляе залежнасць, а не дадае яе. Яно таксама пазбаўляе магчымасці ісці за правайдэрам, які змяняе адрасы, таму кампраміс рэальны, і яго варта вырашаць, а не выяўляць.

Браўзер і астатняя частка машыны адрозніваюцца

Інтэрфейс SOCKS у Tor падтрымлівае перадачу імя хоста прызначэння проксі, гэта значыць вырашэнне выконвае аддалены бок, а лакальная машына наогул не пытаецца. Звычайная праграма, якая падтрымлівае проксі, можа спачатку вырашыць імя лакальна, а потым падключыцца да атрыманага адраса, што стварае лакальны запыт для прызначэння, якое карыстальнік лічыў проксіраваным. Такім чынам, дзве праграмы могуць даваць уцечкі ў розных месцах, падзяляючы адну наладу проксі. Нішто ў агульным адрасе проксі не паказвае, якая з двух паводзін выкарыстоўваецца.

Браўзеры дадаюць яшчэ адзін узровень, калі ўключаны бяспечны DNS, бо браўзер можа выбраць свайго правайдэра і цалкам абысці сістэмны рэзалвер. Кліент тунеля тым часам можа прапіхваць рэзалвер праз тунель для ўсёй машыны. Абедзве гэтыя налады могуць быць правільнымі і ўсё ж апісваць розныя паводзіны для розных праграм.

Правярайце праграму, якая зрабіла запыт, а не экстрапалюйце з адной тэставай старонкі. Розніца паміж запытам, які пераносіцца ўнутры тунеля, і тым, які ніколі не дасягнуў Tor, — гэта менавіта тая розніца, якую не можа паказаць адзін адрас рэзалвера.

Праверце кожную праграму, потым параўнайце з намерам

Праводзьце назіранні асобна: што выкарыстоўвала б сістэма, на што наладжаны браўзер і ці пераносіць злучэнне SOCKS імя або адрас. Апошняе — гэта розніца паміж аддаленым і лакальным вырашэннем, і спецыфікацыя пашырэнняў SOCKS апісвае, як імя хоста перадаецца замест таго, каб спачатку вырашацца.

resolvectl status | grep -E "Current DNS Server|DNS Servers"
ss -tnp '( dport = :9050 )'
dig +short dev.internal.example
getent hosts vpn-endpoint.example.net

Затым параўнайце тое, што вы назіралі, з тым, што мелі намер. Публічнае імя, вырашанае праз тунель абраным вамі рэзалверам, — гэта не тое ж самае, што прыватнае імя, перададзенае публічнаму рэзалверу падчас адкату, і звычайна дзеянняў патрабуе толькі другое. Першае — гэта канфігурацыя, якая працуе як задумана, нават калі выглядае нязвыкла ў справаздачы.

Запішыце выключэнні, якія вы прымаеце, уключаючы запыт падчас загрузкі, які немагчыма абараніць. Запісанае выключэнне — гэта праектнае рашэнне, тады як тое ж выключэнне, выяўленае пазней, выглядае як дэфект. Той, хто яго знойдзе, будзе ставіцца да яго як да дэфекту, і вы правядзяце нараду, тлумачачы, чаму гэта не так.