আপনার VPN-এর DNS ফলব্যাক: কোয়েরি আসলে কোথায় যায়

রিজলভারের সেটিং ব্যক্তিগত ঠিকানা থেকে প্রকাশ্য ঠিকানায় বদলে যায়, আর সিদ্ধান্ত সঙ্গে সঙ্গে আসে: টানেল লিক করছে। মাঝে মাঝে তা-ই হয়। অনেক সময় ফলব্যাক কোয়েরি তবুও টানেলের ভেতরেই প্রশাসকের বেছানো রিজলভারের কাছে গিয়েছিল, আর এতে এটি ত্রুটি নয় বরং নীতির সিদ্ধান্ত হয়ে যায়। এই ঘটনাগুলো আলাদা করতে একটি নয়, তিনটি তথ্য দরকার, আর তাদের প্রথমটি হলো কে উত্তর দিয়েছিল। খুঁজে বের করুন কোয়েরি কে পেয়েছিল, কোন পথ এটি বহন করেছিল এবং কোন নাম জিজ্ঞাসা করা হয়েছিল।

ফলব্যাক একটি নীতি, কোনো একক আচরণ নয়

প্রতিটি ক্লায়েন্টকে ঠিক করতে হয় পছন্দের রিজলভার উত্তর দেওয়া বন্ধ করলে কী করবে। এটি সমাধান আটকাতে পারে, আবার চেষ্টা করতে পারে, নির্ধারিত বিকল্প ব্যবহার করতে পারে, বা এটি অপারেটিং সিস্টেমের হাতে ছেড়ে দিতে পারে, আর গোপনীয়তার দিক থেকে এগুলো চারটি আলাদা পণ্য। সেটিং স্ক্রিন পড়ে বোঝা যায় কোন আচরণ নির্ধারিত আছে; কোনটি ঘটেছে তা বোঝা যায় না। একটিমাত্র সুইচের স্ক্রিন চারটি সম্ভাবনা বর্ণনা করে না।

ব্রাউজার নিজেদের আলাদা স্তর যোগ করে। নিরাপদ DNS চালু থাকা ব্রাউজার নিজের বেছে নেওয়া প্রোভাইডারের মাধ্যমে নাম সমাধান করতে পারে, এমনকি যখন অপারেটিং সিস্টেম অন্য জায়গায় ইশারা করে, যার অর্থ টানেল ক্লায়েন্টের নীতি আপনার সত্যিই গুরুত্বপূর্ণ অনুরোধগুলোর জন্য কখনো জিজ্ঞাসিত নাও হতে পারে। যে অ্যাপ্লিকেশন অনুরোধ পাঠিয়েছে তা যাচাই করুন, শুধু সিস্টেম সেটিং নয়।

বিকল্প রিজলভারের পরিচয় হলো প্রথম তথ্য যা প্রতিষ্ঠা করা উচিত। যে প্রোভাইডারকে আপনি আগেই বিশ্বাস করেন তার প্রকাশ্য রিজলভার, আপনি যে নেটওয়ার্কে আছেন তা দেওয়া ঠিকানার চেয়ে আলাদা পরিস্থিতি। ঠিকানা নিজে খুব কমই বলে আপনি এই দুটির কোনটির দিকে তাকিয়ে আছেন।

বদলের পরে কোয়েরি কে পায়

প্রাপক ও পথ স্বাধীন, এবং কেবল তাদের সমন্বয়ই ঝুঁকি বর্ণনা করে। টানেলের মধ্য দিয়ে পৌঁছানো প্রকাশ্য রিজলভার আপনার অ্যাক্সেস নেটওয়ার্কের ঠিকানা কখনো দেখে না, অথচ একই রিজলভার সরাসরি পৌঁছালে তা দেখে। দুই ক্ষেত্রেই উত্তর আসে, আর কেবল রিজলভারের ঠিকানা জানানো লিক পরীক্ষা দুটিকে একইভাবে বর্ণনা করবে। ফলাফল পড়ার সময় ঠিকানার সঙ্গে ইন্টারফেসও জিজ্ঞাসা করুন।

অভ্যন্তরীণ নাম এই পার্থক্যকে বাস্তব করে। প্রকাশ্য রিজলভার সাধারণত split-horizon নামের উত্তর দিতে পারে না, তাই কোয়েরি ব্যর্থ হয় অথচ নাম আগেই এমন পক্ষের কাছে প্রকাশ হয়ে যায় যার তা দেখার কোনো কাজ ছিল না। তাই এখানে প্রাপ্যতা ও গোপনীয়তা একে অপরের বদলে নয়, একসঙ্গে চলে।

টানেল কোয়েরিকে এমন রিজলভারেও নিতে পারে যা VPN প্রোভাইডার চালায় না, কারণ টানেল সমাধান না করে সামনে পাঠায়। সামনে পাঠানো হোস্ট কোয়েরি স্পষ্ট পাঠে দেখে এবং পরে নিজের সংযোগ সামনে খোলে, যা পরের ধাপ রক্ষা করে কিন্তু প্রথমটি নয়।

পথ ও প্রাপক একসঙ্গে যাচাই করুন

কনফিগারেশন নয়, প্যাকেট দেখুন। সিস্টেমকে জিজ্ঞাসা করুন কোন রিজলভার ব্যবহার হবে, তারপর নিশ্চিত করুন কোয়েরি সত্যিই প্রত্যাশিত ইন্টারফেস থেকে প্রত্যাশিত ঠিকানার দিকে গেছে।

resolvectl status | grep -E "Current DNS Server|DNS Servers|DNSOverTLS"
dig +short example.com
tcpdump -ni any udp port 53 or tcp port 853

যদি ক্যাপচার দেখায় টানেল চালু থাকা অবস্থায় কোয়েরি ভৌত ইন্টারফেস ছাড়ছে, তবে রিজলভারের তালিকা যা-ই বলুক, ফলব্যাক টানেলকে এড়িয়ে গেছে। যদি তা টানেলের ইন্টারফেসে দেখা যায়, প্রশ্ন হয় দূরের প্রান্ত কে চালায় এবং কী রাখে।

একটি অভ্যন্তরীণ ও একটি প্রকাশ্য নামের জন্য যাচাই পুনরাবৃত্তি করুন। অভ্যন্তরীণ কোয়েরিই সেই জায়গা যেখানে ফলব্যাক কনফিগারেশন সাধারণত নিজেকে প্রকাশ করে, কারণ উত্তর দিতে না পারা রিজলভারও প্রশ্নটি পায়।

ফলব্যাকের অনুমতি দেওয়া উচিত কি না ঠিক করুন

যদি শর্ত হয় পছন্দের রিজলভার অনুপলব্ধ থাকলে সমাধান থেমে যাবে, তবে বদ্ধভাবে ব্যর্থ হওয়া প্রয়োগ নীতি নির্ধারণ করুন এবং পরিণতি মেনে নিন: বিভ্রাটের সময় নাম সমাধান হবে না। এটি ত্রুটি নয়, সচেতনভাবে করা প্রাপ্যতার বিনিময়, এবং নকশার উচিত বিভ্রাটের আগেই তা বলা।

যদি শর্ত কেবল এই হয় যে কোয়েরি টানেলের বাইরে যাবে না, তবে টানেলের মধ্য দিয়ে পৌঁছানো প্রকাশ্য রিজলভার গ্রহণযোগ্য হতে পারে, শর্ত থাকে যে অপারেটর ও তার ধারণ নীতি বোঝা যায়। এমন গ্রহণযোগ্যতা তৃতীয় পক্ষ সম্পর্কে রায়, ক্রিপ্টোগ্রাফি সম্পর্কে বিবৃতি নয়, এবং এটি তারই যার কাছে গোপনীয়তার দাবি আছে। যদি অভ্যন্তরীণ নাম চালু থাকতে হয়, ফলব্যাককে এমন রিজলভার হতে হবে যা অভ্যন্তরীণ জোন রাখে, যার সাধারণ অর্থ হলো ফলব্যাকের লক্ষ্য অন্য কোনো ঠিকানা পরিবার নয়, অন্য সার্ভার।

ফলাফলকে আচরণ সম্পর্কে একটি বাক্য হিসেবে নথিভুক্ত করুন: স্বাভাবিক কাজে কোন রিজলভার কোয়েরি পায়, ব্যর্থতার পরে কোনটি, এবং দ্বিতীয় ক্ষেত্রে অভ্যন্তরীণ নাম সমাধান হয় কি না। শেষে পৃষ্ঠা লোড করা লিক পরীক্ষা সেই বাক্যের চেয়ে কম প্রমাণ করে, কারণ পৃষ্ঠা এমন রিজলভারের মাধ্যমেও লোড হতে পারে যাকে কখনো জিজ্ঞাসা করা উচিত হয়নি।