Záložní DNS vašeho VPN: kam dotaz skutečně putuje

Nastavení překladače se přepne ze soukromé adresy na veřejnou a závěr přichází okamžitě: tunel uniká. Někdy to tak je. Často však záložní dotaz putoval stále uvnitř tunelu k překladači, který zvolil správce, a to z něj činí rozhodnutí o politice, nikoli závadu. Rozlišení těchto případů vyžaduje tři fakta místo jednoho a tím prvním je, kdo odpověděl. Zjistěte, kdo dotaz dostal, kterou cestou putoval a na jaká jména se ptal.

Záložní režim je politika, ne jediné chování

Každý klient musí rozhodnout, co udělá, když preferovaný překladač přestane odpovídat. Může překlad zablokovat, zkusit to znovu, použít nakonfigurovanou alternativu nebo se spolehnout na operační systém, a z pohledu soukromí jsou to čtyři různé produkty. Přečtení obrazovky nastavení vám řekne, které chování je nakonfigurováno; neřekne vám, které nastalo. Obrazovka s jediným přepínačem nepopisuje čtyři možnosti.

Prohlížeče přidávají vlastní vrstvu. Prohlížeč se zapnutým zabezpečeným DNS může přeložit jméno přes vlastního zvoleného poskytovatele, i když operační systém ukazuje jinam, což znamená, že politika klienta tunelu nemusí být u požadavků, na kterých vám skutečně záleží, nikdy konzultována. Zkontrolujte aplikaci, která požadavek vytvořila, nejen systémové nastavení.

Identita náhradního překladače je první fakt, který stojí za to zjistit. Veřejný překladač patřící poskytovateli, kterému už důvěřujete, je jiná situace než adresa dodaná sítí, ve které se právě nacházíte. Adresa sama málokdy prozradí, na kterou z těch dvou se díváte.

Kdo dotaz po přepnutí dostane

Příjemce a cesta jsou nezávislé a pouze jejich kombinace popisuje expozici. Veřejný překladač dosažený tunelem nikdy nevidí adresu vaší přístupové sítě, zatímco stejný překladač dosažený přímo ano. Oba případy vrátí odpověď a test úniku, který hlásí jen adresu překladače, je popíše stejně. Při čtení výsledku se ptejte na rozhraní i na adresu.

Interní jména činí rozdíl konkrétním. Veřejný překladač obvykle nedokáže odpovědět na jméno ze split-horizonu, takže dotaz selže, přičemž jméno už bylo vyzrazeno straně, která ho neměla vidět. Dostupnost a soukromí zde tedy jdou ruku v ruce, místo aby se vyměňovaly.

Tunel může dotaz nést i k překladači, který neprovozuje poskytovatel VPN, protože tunel předává, nikoli překládá. Předávající hostitel vidí dotaz v otevřené podobě a pak otevře vlastní spojení dál, což chrání další skok, ale ne ten první.

Zkontrolujte cestu i příjemce společně

Sledujte pakety, ne konfiguraci. Zeptejte se systému, který překladač by se použil, a pak potvrďte, že dotaz skutečně vyšel z očekávaného rozhraní na očekávanou adresu.

resolvectl status | grep -E "Current DNS Server|DNS Servers|DNSOverTLS"
dig +short example.com
tcpdump -ni any udp port 53 or tcp port 853

Pokud záznam ukazuje, že dotaz opouští fyzické rozhraní, zatímco je tunel aktivní, záložní cesta tunel obešla bez ohledu na to, co říká seznam překladačů. Pokud se objeví na rozhraní tunelu, otázka se mění na to, kdo provozuje vzdálený konec a co uchovává.

Kontrolu zopakujte pro jedno interní a jedno veřejné jméno. Interní dotaz je místo, kde se záložní konfigurace obvykle prozradí, protože překladač, který nedokáže odpovědět, otázku stejně dostane.

Rozhodněte, zda má být záložní režim povolen

Pokud je požadavkem, aby se překlad zastavil, když preferovaný překladač není dostupný, nastavte vynucovací politiku, která selhává zavřeně, a přijměte důsledek: jména se během výpadku nepřeloží. Je to záměrná výměna dostupnosti, nikoli porucha, a návrh by to měl říci dřív, než výpadek nastane.

Pokud je požadavkem jen to, aby dotazy neputovaly mimo tunel, veřejný překladač dosažený tunelem může být přijatelný, pokud rozumíte provozovateli a jeho politice uchovávání. Takové přijetí je úsudek o třetí straně, nikoli tvrzení o kryptografii, a náleží tomu, kdo vlastní nárok na soukromí. Pokud mají interní jména dál fungovat, musí být záložním cílem překladač, který drží interní zóny, což obvykle znamená jiný server, nikoli jinou rodinu adres.

Zaznamenejte výsledek jako větu o chování: který překladač dostává dotazy za normálního provozu, který je dostává po selhání a zda se ve druhém případě interní jména přeloží. Test úniku, který nakonec načte stránku, dokazuje méně než tato věta, protože stránka se může načíst přes překladač, který se nikdy neměl použít.