Kdo provozuje 1.1.1.1? Ověření adresy DNS, než jí budete věřit

Vložili jste 1.1.1.1 do pole DNS u VPN, stránka se načetla a návod teď vypadá potvrzený. To pozorování je užší, než se zdá: aplikace se chovala jinak a změna zatím nic neříká o tom, kdo dotaz zodpověděl nebo proč staré uspořádání selhalo. Opsaný návod často nazývá známou veřejnou adresu „DNS VPN“, což je tvrzení o vlastnictví, nikoli o dosažitelnosti. Ověřit, co adresa představuje, trvá pět minut a zabrání trvalé změně provedené ze špatného důvodu.

Fungující nastavení není identita

Adresa v poli nastavení je koncový bod a koncový bod má provozovatele. Tato dvě fakta jsou oddělená a to druhé lidé přeskakují. U páru, který se kopíruje nejčastěji, je odpověď veřejná: Cloudflare zveřejňuje 1.1.1.1 a 1.0.0.1 jako adresy svého překladače a uvádí je ve svém oficiálním přehledu adres. Proto jméno provozovatele patří vedle adresy, ne do samostatného návodu.

Zadání tohoto páru při aktivním tunelu nečiní z VPN společnosti jeho provozovatele a nečiní provoz anonymním. Dotaz opouští váš počítač směrem ke společnosti, která rozsah adres zveřejňuje, a ta společnost může být seriózní a přesto nebýt stranou, kterou návod naznačoval. Označení v pokynech a skutečný provozovatel jsou dvě různá tvrzení. Ani jedno neříká, kdo provozuje síťovou cestu mezi nimi.

Použijte vlastní zveřejněný přehled překladače k potvrzení páru adres nebo šifrovaného koncového bodu. Doporučení od jiného dodavatele může být legitimní a „doporučeno kým“, „dosaženo přes“ a „provozováno kým“ stále popisují tři různé vztahy.

Porovnejte tři věci, které záznam potřebuje

Záznam připravený k revizi odděluje tři otázky: kdo má dotaz přijmout, zda je výměna otevřená nebo šifrovaná a která cesta ji má nést. Název poskytovatele nemůže vyplnit druhou ani třetí a označení země nemůže vyplnit žádnou z nich. Zapište tři položky před změnou a porovnejte je potom. Ty položky nejsou zaměnitelné a jejich zacházení jako s jednou je způsob, jak se domněnka stane dokumentací.

Právě srovnání mění fungující nastavení v doložené rozhodnutí. Bez něj další člověk zdědí adresu bez jakéhokoli připojeného důvodu. Přečtěte si nejprve třetí sloupec tabulky níže, protože právě tam většina sebevědomých vysvětlení ve skutečnosti končí.

Tabulka je záměrně krátká. Jejím smyslem je, že každá položka odpovídá na jinou otázku a žádné jediné pole nevyplní všechny tři.

Místní přesměrovač skrývá skutečný zdroj

Zařízení nastavené tak, aby používalo svůj router jako DNS, ukazuje na přesměrovač. Ta adresa určuje dalšího příjemce dotazu, ne překladač, který na něj nakonec odpovídá. Místní stub překladač přidává stejný krok navíc, a je snadné si ho splést se skutečnou věcí, protože se objevuje v každém výpisu stavu.

Stub předává dál zdrojům, které stejný výpis také uvádí, obvykle níže. Přečtěte si celý řetězec, než o provozovateli cokoli uzavřete, protože první řádek není celá odpověď. Jinak nazýváte recepci společností.

resolvectl status | grep -A4 'Current DNS Server'
dig +short CH TXT whoami.cloudflare @1.1.1.1
dig example.com | grep -E '^;; SERVER'

Druhý příkaz používá echo jméno překladače, pokud je provozovatel zveřejňuje, aby oznámil zdrojovou adresu, kterou vidí. Třetí pojmenovává server, který odpověděl, což často není adresa, kterou jste nastavili. Porovnejte všechny tři výstupy, než zapíšete provozovatele.

Šifrované DNS mění, co je vidět, ne kdo to vidí

DNS over HTTPS a DNS over TLS chrání výměnu mezi klientem a překladačem. Překladač stále čte každé jméno, na které se ho ptáte, protože odpovídat je jeho práce. Mění se to, kdo může výměnu sledovat: místní síť vidí spojení k jednomu koncovému bodu místo proudu dotazů v otevřeném textu.

Co se nemění, je vztah důvěry, který stále ukazuje na organizaci, jež onen koncový bod provozuje. Prohlížeč s vlastním nastavením zabezpečeného DNS může překladač operačního systému úplně obejít. Berte je jako dvě konfigurace, které si mohou odporovat, a ne jako jedno nastavení použité dvakrát.

Soukromá jména znovu potřebují vlastní rozhodnutí. Pracovní tunel může vybrané domény směrovat na organizační překladače a nahrazení veřejnou službou může rozbít interní vyhledávání nebo prozradit interní jména nesprávné straně. Zkontrolujte pravidla domén, než nahradíte nastavení celého adaptéru.

Držte pozorování úzké

Když porovnáváte, zachovejte starou konfiguraci a měňte jedno nastavení po druhém. Zaznamenejte aplikaci, operaci, pravidla překladače a zda se veřejná a povolená soukromá jména po opětovném připojení stále překládají. Srovnání se dvěma změnami neprokazuje ani jednu z nich. Výsledek zapište tam, kde ho najde další člověk, vedle samotného nastavení.

resolvectl query intranet.corp.example
resolvectl domain
dig +short @1.1.1.1 example.com

Pokud aplikace začne fungovat, držte tvrzení tak malé, jak důkazy dovolují. Ta změna pomohla jednomu testu a neříká nic o tom, zda předchozí překladač jednal ve zlé víře, zda byl tunel rozbitý nebo zda jiné zařízení potřebuje stejnou náhradu. Trvalým výsledkem je konfigurace, jejíhož provozovatele i účel dokážete vysvětlit.