Gdje odlazi DNS kad kombinujete Tor i VPN

Rade dva alata za privatnost, jedna se stranica ne učitava, a test razrješivača kaže da je nešto izvan preglednika primilo ime. Prije nego to postane izvještaj o curenju, imenujte razmjenu iz koje je došlo. Postava Tor plus VPN sadrži najmanje tri različita upita za imenima s tri različita vlasnika, a proći kroz njih redom kojim se događaju najbrži je način da se vidi koja se ponaša pogrešno.

Imenujte svaku razmjenu prije nego to nazovete curenjem

Prva razmjena razrješava samu završnu točku VPN-a i događa se prije nego što postoji ikakva zaštita. Druga razrješava odredište za Tor Browser, koji ime može predati proxyju umjesto da ga razriješi lokalno. Treća pokriva sve ostalo na stroju, uključujući provjere ažuriranja, poštanske klijente i vlastite zahtjeve usluga operacijskog sustava. Samo prva od njih može se dogoditi bez sudjelovanja druge dvije.

Svaka od njih može slijediti drugi put, a jedan test u pregledniku promatra samo vlastiti zahtjev. Uzimanje jednog rezultata kao stanja sve tri je mjesto gdje počinje većina zabune.

Zapišite koja imena pripadaju kojem sloju prije nego što bilo što promijenite. Privatna organizacijska imena, javno odredište i sama završna točka tunela ne nose isti zahtjev, a politika koja ih tretira kao jednu kategoriju slomit će nešto.

Zahtjev pri pokretanju događa se prije tunela

Klijent konfiguriran s imenom hosta mora razriješiti to ime da bi otvorio tunel, a u tom trenutku nema tunela koji bi prenio zahtjev. Odgovara bilo koji razrješivač koji operacijski sustav nudi na trenutnoj mreži, što može biti zarobljeni portal, hotelski razrješivač ili javni. To nije curenje u tunelu, jer tunela još nema.

Promjena postavke sigurnog DNS-a u pregledniku također ne dira ovaj zahtjev, jer pripada usluzi koja radi izvan preglednika i počinje prije nego što se otvori bilo koja stranica. Ako se ime završne točke ne razriješi, nikakva politika unutar tunela neće pomoći, jer se kvar događa jednu fazu prije svega što konfiguracija opisuje.

Ovo je jedino mjesto gdje korištenje doslovne adrese za završnu točku, ako to pružatelj podržava, uklanja ovisnost umjesto da je dodaje. Također uklanja mogućnost praćenja pružatelja koji rotira adrese, pa je razmjena stvarna i treba je odlučiti, a ne otkriti.

Preglednik i ostatak stroja razlikuju se

SOCKS sučelje Tora podržava prosljeđivanje imena hosta odredišta proxyju, što znači da razrješenje obavlja udaljena strana i lokalni stroj nikada ne pita. Opća aplikacija koja podržava proxy može najprije lokalno razriješiti ime i zatim se povezati s dobivenom adresom, što stvara lokalni zahtjev za odredište za koje je korisnik vjerovao da ide kroz proxy. Zato dvije aplikacije mogu curiti na različitim mjestima dok dijele jednu postavku proxyja. Ništa u zajedničkoj adresi proxyja ne kaže koje se od dva ponašanja koristi.

Preglednici dodaju još jedan sloj kad je omogućen sigurni DNS, jer preglednik može odabrati vlastitog pružatelja i potpuno zaobići sustavni razrješivač. Klijent tunela u međuvremenu može progurati razrješivač kroz tunel za cijeli stroj. Te dvije postavke mogu obje biti točne i ipak opisivati različito ponašanje različitih programa.

Provjerite program koji je uputio zahtjev umjesto da zaključujete s jedne testne stranice. Razlika između zahtjeva koji se prenosi unutar tunela i onoga koji nikada nije stigao do Tora jest upravo razlika koju jedna adresa razrješivača ne može pokazati.

Provjerite svaki program, zatim usporedite s namjerom

Obavite promatranja odvojeno: što bi sustav koristio, za što je preglednik konfiguriran i nosi li SOCKS veza ime ili adresu. Posljednje je razlika između udaljenog i lokalnog razrješenja, a specifikacija SOCKS proširenja opisuje kako se ime hosta prosljeđuje umjesto da se prvo razriješi.

resolvectl status | grep -E "Current DNS Server|DNS Servers"
ss -tnp '( dport = :9050 )'
dig +short dev.internal.example
getent hosts vpn-endpoint.example.net

Zatim usporedite ono što ste promatrali s onim što ste namjeravali. Javno ime razriješeno kroz tunel razrješivačem koji ste odabrali nije isti nalaz kao privatno ime predano javnom razrješivaču tijekom vraćanja, i obično samo drugo zahtijeva radnju. Prvo je konfiguracija koja radi kako je projektirana, čak i ako u izvještaju izgleda neobično.

Zabilježite iznimke koje prihvaćate, uključujući zahtjev pri pokretanju koji se ne može zaštititi. Zapisana iznimka je projektna odluka, dok ista iznimka otkrivena kasnije izgleda kao nedostatak. Onaj tko je nađe tretirat će je tako, a vi ćete sastanak provesti objašnjavajući zašto to nije.