Per què una etiqueta de país al DNS no demostra una fuita de VPN

Les adreces de resolutor d’aspecte estranger apareixen constantment als resultats de proves de DNS, i la conclusió a què arriba la gent és sempre la mateixa: les consultes deuen haver escapat del túnel. De vegades ho van fer. Més sovint l’informe descriu quin servei recursiu va respondre i on creu una base de dades que se situa aquesta adreça, i això és una afirmació sobre la infraestructura, no sobre els teus paquets. Separar l’observació de la inferència requereix tres fets: qui va respondre, com va viatjar el nom i quina política vas configurar realment.

Llegeix què va observar realment la prova

La majoria de pàgines de prova funcionen igual: demanen al client que resolgui un nom d’amfitrió únic i després miren quin resolutor el va portar, o simplement retornen l’adreça de resolutor que el client informa. Això identifica un servei recursiu i, si la consulta portava informació de subxarxa del client, una ubicació de xarxa aproximada. No demostra que la consulta hagi sortit del dispositiu fora del túnel, i certament no demostra que s’hagi usat el mateix camí per a cada nom. Una sola observació d’una cerca es generalitza en una afirmació sobre tot el trànsit.

Una prova que mostra l’adreça del resolutor és més útil que una insígnia de país, perquè l’adreça es pot comparar amb la llista de resolutors que el client va rebre realment.

Anycast i reenviament expliquen la majoria de sorpreses

Els grans resolutors públics anuncien la mateixa adreça des de molts llocs, i la xarxa encamina cada consulta cap al lloc que és més proper en termes d’encaminament. Després una base de dades de geolocalització assigna aquesta adreça a un sol lloc, que pot ser una adreça de registre corporatiu en un altre continent o un centre de dades que no és el que respon. RFC 4786 cobreix la pràctica operativa dels serveis anycast i la dificultat d’associar aquesta adreça amb un lloc físic. El mapa és una simplificació d’una decisió d’encaminament, i simplifica en la direcció que produeix resultats alarmants.

El reenviament afegeix una segona capa. Un resolutor stub local, un encaminador o un resolutor de l’ISP poden passar les consultes a un servei superior, i el nom que apareix a la prova reflecteix el darrer operador d’aquesta cadena, no el primer. Les extensions de subxarxa del client poden fer que una resposta superior s’ajusti a la teva xarxa mentre fan que la ubicació informada sembli un lloc on no has estat mai.

Per tant, un resolutor configurat pot ser correcte i tot i així produir un resultat d’aspecte estranger, i un resolutor del teu propi país pot ser el dolent perquè pertany a una part que no vas triar.

Qui va rebre el nom, i per quina ruta

Dues preguntes responen la part pràctica: quin servidor fa servir el client i si s’arriba a aquest servidor a través del túnel. Compara la llista de resolutors amb l’adreça del resultat de la prova abans de treure conclusions sobre l’encaminament, i després comprova que la consulta a aquesta adreça surti per la interfície del túnel. Si les dues adreces difereixen, la troballa interessant és que alguna cosa va reescriure o va evitar el resolutor previst, cosa que mereix una mirada més atenta que el nom del país.

resolvectl query example.com
resolvectl status | grep -A3 'DNS Servers'
dig +short TXT whoami.akamai.net

La primera ordre mostra quin servidor va respondre per a un nom, la segona mostra la llista configurada i el seu abast, i la tercera informa de l’adreça del resolutor tal com la veu un servei públic. Quan les tres coincideixen, la política fa el que se li va configurar, digui el que digui l’etiqueta de país.

Compara amb la política que vas triar

Una VPN que imposa un resolutor, un navegador configurat per usar el seu propi DNS xifrat i un sistema operatiu que prefereix la configuració d’una interfície poden ser correctes per separat mentre es contradiuen en conjunt. Els navegadors moderns poden enviar consultes per un transport xifrat a un proveïdor triat dins del navegador, cosa que bypassa deliberadament la llista de resolutors del sistema. Això no és una fuita en el sentit d’un túnel trencat; és una política triada en un altre lloc, i trobar on es va triar és la tasca real.

Els dispositius de feina afegeixen regles per domini: els noms interns han d’anar al resolutor de l’organització mentre que tota la resta segueix el valor per defecte. Substituir aquesta disposició perquè una pàgina de prova va mostrar un país inesperat és com els noms interns deixen de resoldre’s per a tot un equip.

Mantén les proves estretes i segures

Consultar un servei de prova públic per un nom d’amfitrió intern revela el nom a una part que no hi té res a veure, i la resposta no et diu res que no digués llegir la llista de resolutors localment.

Fes servir en canvi noms que revelin infraestructura, registra l’adreça del resolutor, l’abast i la interfície usada, i compara aquest registre amb la intenció documentada. L’etiqueta del mapa és context per a una conversa, no un resultat d’aprovat o suspès, i tractar-la com a veredicte produeix canvis de configuració en lloc de diagnosi.