La fallada de DNS del VPN: on va realment la consulta

Una configuració de resolutor passa de l'adreça privada a una de pública i la conclusió arriba de seguida: el túnel té una fuita. De vegades és així. Sovint la consulta de reserva encara va viatjar dins del túnel fins a un resolutor que va triar l'administrador, cosa que la converteix en una decisió de política i no en un defecte. Separar aquests casos requereix tres fets i no un, i el primer és qui va respondre. Esbrina qui va rebre la consulta, quina ruta la va portar i quins noms es van demanar.

La reserva és una política, no un sol comportament

Cada client ha de decidir què fa quan el resolutor preferit deixa de respondre. Pot bloquejar la resolució, reintentar, utilitzar una alternativa configurada o delegar en el sistema operatiu, i des del punt de vista de la privadesa aquests són quatre productes diferents. Llegir la pantalla de configuració et diu quin comportament està configurat; no et diu quin va passar. Una pantalla que ofereix un sol interruptor no descriu quatre possibilitats.

Els navegadors hi afegeixen la seva pròpia capa. Un navegador amb DNS segur activat pot resoldre un nom a través del proveïdor que ell mateix tria encara que el sistema operatiu apunti a un altre lloc, cosa que significa que la política del client del túnel pot no consultar-se mai per a les peticions que realment t'importen. Comprova l'aplicació que va fer la petició, no només la configuració del sistema.

La identitat del resolutor substitut és el primer fet que val la pena establir. Un resolutor públic que pertany a un proveïdor en qui ja confies és una situació diferent d'una adreça proporcionada per la xarxa on et trobes. L'adreça mateixa poques vegades diu a quina de les dues estàs mirant.

Qui rep la consulta després del canvi

El destinatari i la ruta són independents, i només la seva combinació descriu l'exposició. Un resolutor públic assolit a través del túnel no veu mai l'adreça de la teva xarxa d'accés, mentre que el mateix resolutor assolit directament sí que la veu. Tots dos casos produeixen una resposta, i una prova de fuita que només informa de l'adreça del resolutor els descriurà de manera idèntica. Demana la interfície així com l'adreça quan llegeixis el resultat.

Els noms interns fan concreta la distinció. Un resolutor públic normalment no pot respondre un nom de split-horizon, així que la consulta falla mentre el nom encara s'ha revelat a una part que no tenia cap motiu per veure'l. Disponibilitat i privadesa, doncs, van juntes aquí en lloc d'intercanviar-se.

Un túnel també pot portar la consulta a un resolutor que no opera el proveïdor de VPN, perquè el túnel reenvia en lloc de resoldre. L'amfitrió que reenvia veu la consulta en text pla i després obre la seva pròpia connexió cap endavant, cosa que protegeix el següent salt sense protegir el primer.

Comprova la ruta i el destinatari alhora

Observa els paquets en lloc de la configuració. Pregunta al sistema quin resolutor s'utilitzaria i després confirma que la consulta va sortir realment de la interfície esperada cap a l'adreça esperada.

resolvectl status | grep -E "Current DNS Server|DNS Servers|DNSOverTLS"
dig +short example.com
tcpdump -ni any udp port 53 or tcp port 853

Si la captura mostra la consulta sortint de la interfície física amb el túnel actiu, la reserva va saltar el túnel independentment del que digui la llista de resolutors. Si apareix a la interfície del túnel, la pregunta passa a ser qui opera l'extrem llunyà i què conserva.

Repeteix la comprovació per a un nom intern i un nom públic. La consulta interna és on una configuració de reserva normalment es revela, perquè un resolutor que no pot respondre encara rep la pregunta.

Decideix si cal permetre la reserva

Si el requisit és que la resolució s'aturi quan el resolutor preferit no està disponible, configura una política d'aplicació que falli tancada i accepta la conseqüència: els noms no es resoldran durant una interrupció. És un intercanvi deliberat de disponibilitat i no un mal funcionament, i el disseny hauria de dir-ho abans que passi la interrupció.

Si el requisit és només que les consultes no viatgin fora del túnel, un resolutor públic assolit a través del túnel pot ser acceptable sempre que s'entenguin l'operador i la seva política de retenció. Aquesta acceptació és un judici sobre un tercer i no una afirmació sobre criptografia, i pertany a qui posseeix la reclamació de privadesa. Si els noms interns han de seguir funcionant, la reserva ha de ser un resolutor que tingui les zones internes, cosa que normalment vol dir que l'objectiu de reserva és un servidor diferent i no una família d'adreces diferent.

Documenta el resultat com una frase sobre el comportament: quin resolutor rep les consultes en funcionament normal, quin les rep després d'una fallada i si els noms interns es resolen en el segon cas. Una prova de fuita que finalment carrega una pàgina demostra menys que aquesta frase, perquè una pàgina pot carregar-se a través d'un resolutor que mai no s'hauria d'haver consultat.