DNS-এ দেশের লেবেল কেন VPN লিক প্রমাণ করে না

বিদেশি দেখতে রিজলভার ঠিকানা DNS পরীক্ষার ফলাফলে নিয়মিত দেখা যায়, আর মানুষ যে সিদ্ধান্তে পৌঁছায় তা সবসময় একই: কোয়েরিগুলো নিশ্চয়ই টানেল থেকে বেরিয়ে গেছে। কখনো সত্যিই গেছে। বেশিরভাগ ক্ষেত্রে প্রতিবেদনটি বলে কোন রিকার্সিভ সেবা উত্তর দিয়েছে এবং কোনো ডেটাবেস মনে করে ওই ঠিকানাটি কোথায় অবস্থিত, যা আপনার প্যাকেট সম্পর্কে নয়, বরং অবকাঠামো সম্পর্কে একটি বক্তব্য। পর্যবেক্ষণকে অনুমান থেকে আলাদা করতে তিনটি তথ্য লাগে: কে উত্তর দিল, নামটি কীভাবে গেল, এবং আপনি আসলে কী নীতি কনফিগার করেছেন।

পরীক্ষাটি আসলে কী পর্যবেক্ষণ করেছে তা পড়ুন

বেশিরভাগ পরীক্ষার পাতা একইভাবে কাজ করে: তারা ক্লায়েন্টকে একটি অনন্য হোস্টনেম রিজলভ করতে বলে এবং তারপর দেখে কোন রিজলভার সেটি এনেছে, অথবা কেবল ক্লায়েন্ট যে রিজলভার ঠিকানা জানায় তা ফিরিয়ে দেয়। এটি একটি রিকার্সিভ সেবা চিহ্নিত করে এবং কোয়েরিতে ক্লায়েন্ট সাবনেট তথ্য থাকলে মোটামুটি একটি নেটওয়ার্ক অবস্থানও। এটি প্রমাণ করে না যে কোয়েরিটি ডিভাইস ছেড়ে টানেলের বাইরে গেছে, এবং নিশ্চিতভাবেই প্রমাণ করে না যে প্রতিটি নামের জন্য একই পথ ব্যবহার হয়েছে। একটি লুকআপের একক পর্যবেক্ষণকে সমস্ত ট্র্যাফিক সম্পর্কে দাবিতে সাধারণীকরণ করা হচ্ছে।

যে পরীক্ষা রিজলভার ঠিকানা দেখায় তা দেশের ব্যাজের চেয়ে বেশি কাজে লাগে, কারণ ঠিকানাটিকে ক্লায়েন্ট আসলে যে রিজলভার তালিকা পেয়েছে তার সঙ্গে মেলানো যায়।

অ্যানিকাস্ট ও ফরওয়ার্ডিং বেশিরভাগ আশ্চর্যের ব্যাখ্যা দেয়

বড় পাবলিক রিজলভাররা একই ঠিকানা অনেক স্থান থেকে ঘোষণা করে, আর নেটওয়ার্ক প্রতিটি কোয়েরিকে রাউটিংয়ের দিক থেকে নিকটতম সাইটে পাঠায়। এরপর একটি জিওলোকেশন ডেটাবেস ওই ঠিকানাকে একটিমাত্র স্থানে মেলে, যা অন্য মহাদেশের কর্পোরেট নিবন্ধন ঠিকানা হতে পারে বা এমন ডেটা সেন্টার হতে পারে যা উত্তর দেয়নি। RFC 4786 অ্যানিকাস্ট সেবার পরিচালন চর্চা এবং এমন ঠিকানাকে একটিমাত্র ভৌত স্থানের সঙ্গে যুক্ত করার অসুবিধা নিয়ে আলোচনা করে। মানচিত্রটি একটি রাউটিং সিদ্ধান্তের সরলীকরণ, এবং এটি সেই দিকেই সরল করে যা উদ্বেগজনক ফল দেয়।

ফরওয়ার্ডিং আরও একটি স্তর যোগ করে। একটি স্থানীয় স্টাব রিজলভার, একটি রাউটার বা একটি ISP রিজলভার কোয়েরি উপরের সেবায় পাঠাতে পারে, আর পরীক্ষায় যে নাম দেখা যায় তা ওই শৃঙ্খলের শেষ অপারেটরকে প্রতিফলিত করে, প্রথমটিকে নয়। ক্লায়েন্ট সাবনেট এক্সটেনশন উপরের উত্তরকে আপনার নেটওয়ার্ক অনুযায়ী সাজাতে পারে, আবার জানানো অবস্থানটিকে এমন জায়গার মতো দেখাতে পারে যেখানে আপনি কখনো যাননি।

তাই একটি কনফিগার করা রিজলভার সঠিক হয়েও বিদেশি দেখতে ফল দিতে পারে, আর আপনার নিজের দেশের রিজলভারও ভুল হতে পারে কারণ সেটি আপনার বেছে না নেওয়া একটি পক্ষের।

নামটি কে পেল, এবং কোন পথে

দুটি প্রশ্ন ব্যবহারিক অংশের উত্তর দেয়: ক্লায়েন্ট কোন সার্ভার ব্যবহার করে, এবং ওই সার্ভারে টানেলের মধ্য দিয়ে পৌঁছানো যায় কি না। রাউটিং সম্পর্কে সিদ্ধান্তে পৌঁছানোর আগে রিজলভার তালিকাকে পরীক্ষার ফলাফলের ঠিকানার সঙ্গে মেলান, তারপর দেখুন যে ওই ঠিকানায় যাওয়া কোয়েরি টানেল ইন্টারফেস দিয়ে বেরোয়। যদি দুটি ঠিকানা আলাদা হয়, মজার আবিষ্কার হলো কিছু একটা অভীষ্ট রিজলভার পুনর্লিখন বা এড়িয়ে গেছে, যা দেশের নামের চেয়ে বেশি মনোযোগ দাবি করে।

resolvectl query example.com
resolvectl status | grep -A3 'DNS Servers'
dig +short TXT whoami.akamai.net

প্রথম কমান্ড দেখায় কোন সার্ভার একটি নামের জন্য উত্তর দিয়েছে, দ্বিতীয়টি দেখায় কনফিগার করা তালিকা ও তার পরিধি, আর তৃতীয়টি রিজলভার ঠিকানা জানায় যেমনটি একটি পাবলিক সেবা দেখে। তিনটিই মিলে গেলে নীতি যা করার জন্য কনফিগার করা হয়েছিল তা-ই করছে, দেশের লেবেল যা-ই বলুক।

আপনি যে নীতি বেছেছেন তার সঙ্গে মেলান

একটি VPN যা রিজলভার চাপিয়ে দেয়, নিজের এনক্রিপ্টেড DNS ব্যবহার করতে কনফিগার করা একটি ব্রাউজার, এবং একটি অপারেটিং সিস্টেম যা একটি ইন্টারফেসের সেটিংসকে অগ্রাধিকার দেয় — এগুলো আলাদাভাবে সঠিক হতে পারে, অথচ একসঙ্গে সংঘর্ষ করে। আধুনিক ব্রাউজার ব্রাউজারে বেছে নেওয়া একটি প্রোভাইডারের কাছে এনক্রিপ্টেড ট্রান্সপোর্টে কোয়েরি পাঠাতে পারে, যা সচেতনভাবেই সিস্টেমের রিজলভার তালিকা এড়িয়ে যায়। এটি ভাঙা টানেল অর্থে লিক নয়; এটি অন্য কোথাও বেছে নেওয়া একটি নীতি, আর সেটি কোথায় বেছে নেওয়া হয়েছে তা খুঁজে বের করাই আসল কাজ।

কর্মক্ষেত্রের ডিভাইস ডোমেইনভিত্তিক নিয়ম যোগ করে: অভ্যন্তরীণ নামগুলোকে সংগঠনের রিজলভারে যেতে হবে, বাকি সব ডিফল্ট অনুসরণ করে। একটি পরীক্ষার পাতা অপ্রত্যাশিত দেশ দেখিয়েছে বলে এই ব্যবস্থা বদলে দেওয়া — এভাবেই একটি গোটা দলের জন্য অভ্যন্তরীণ নাম রিজলভ হওয়া বন্ধ হয়ে যায়।

পরীক্ষাগুলো সংকীর্ণ ও নিরাপদ রাখুন

একটি অভ্যন্তরীণ হোস্টনেমের জন্য পাবলিক পরীক্ষা সেবায় কোয়েরি করলে নামটি এমন পক্ষের কাছে প্রকাশ পায় যার এটি দেখা উচিত নয়, আর উত্তর আপনাকে এমন কিছু বলে না যা স্থানীয়ভাবে রিজলভার তালিকা পড়লে জানা যেত না।

বরং অবকাঠামো প্রকাশ করে এমন নাম ব্যবহার করুন, রিজলভার ঠিকানা, পরিধি ও ব্যবহৃত ইন্টারফেস লিপিবদ্ধ করুন, এবং সেই লিপি নথিভুক্ত উদ্দেশ্যের সঙ্গে মেলান। মানচিত্রের লেবেল একটি আলোচনার প্রেক্ষাপট, পাস বা ফেল ফলাফল নয়, আর এটিকে রায় হিসেবে গণ্য করলে নির্ণয়ের বদলে কনফিগারেশন বদল হয়।