Proč označení země v DNS nedokazuje únik VPN

Adresy resolverů, které vypadají cizokrajně, se ve výsledcích DNS testů objevují neustále a závěr, k němuž lidé docházejí, je vždy stejný: dotazy musely uniknout z tunelu. Někdy skutečně unikly. Častěji zpráva popisuje, která rekurzivní služba odpověděla a kam databáze tuto adresu klade, což je tvrzení o infrastruktuře, nikoli o vašich paketech. Oddělit pozorování od odvození vyžaduje tři fakta: kdo odpověděl, jak se jméno dostalo dál a jakou zásadu jste skutečně nastavili.

Přečtěte si, co test skutečně pozoroval

Většina testovacích stránek funguje stejně: požádá klienta, aby přeložil jedinečné jméno hostitele, a pak zjišťuje, který resolver ho přinesl, nebo jen vrátí adresu resolveru, kterou klient hlásí. Tím se určí rekurzivní služba a pokud dotaz nesl informaci o klientské podsíti, i hrubá síťová poloha. Nedokazuje to, že dotaz opustil zařízení mimo tunel, a rozhodně to nedokazuje, že stejná cesta byla použita pro každé jméno. Jediné pozorování jednoho vyhledání se zobecňuje na tvrzení o veškerém provozu.

Test, který ukazuje adresu resolveru, je užitečnější než odznak země, protože adresu lze porovnat se seznamem resolverů, který klient skutečně dostal.

Anycast a předávání vysvětlují většinu překvapení

Velké veřejné resolvery oznamují stejnou adresu z mnoha míst a síť směruje každý dotaz k místu, které je z hlediska směrování nejblíž. Databáze geolokace pak tuto adresu přiřadí jedinému místu, což může být firemní registrační adresa na jiném kontinentu nebo datové centrum, které není to, jež odpovídá. RFC 4786 pokrývá provozní praxi anycast služeb a obtížnost spojení takové adresy s jedním fyzickým místem. Mapa je zjednodušením rozhodnutí o směrování a zjednodušuje směrem, který dává znepokojivé výsledky.

Předávání přidává druhou vrstvu. Místní stub resolver, router nebo resolver poskytovatele může předávat dotazy službě výše a jméno, které se v testu objeví, odráží posledního operátora v tomto řetězci, nikoli prvního. Rozšíření klientské podsítě mohou způsobit, že odpověď z výše bude přizpůsobena vaší síti, zatímco hlášená poloha vypadá jako místo, kde jste nikdy nebyli.

Nakonfigurovaný resolver tedy může být správný a přesto dávat cizokrajně vypadající výsledek, a resolver ve vaší zemi může být špatný, protože patří straně, kterou jste si nevybrali.

Kdo jméno obdržel a jakou cestou

Na praktickou část odpovídají dvě otázky: který server klient používá a zda se k tomuto serveru dostane tunelem. Porovnejte seznam resolverů s adresou ve výsledku testu, než začnete vyvozovat závěry o směrování, a potom zkontrolujte, že dotaz na tuto adresu vychází rozhraním tunelu. Pokud se obě adresy liší, zajímavým zjištěním je, že něco přepsalo nebo obešlo zamýšlený resolver, což si zaslouží bližší pohled než název země.

resolvectl query example.com
resolvectl status | grep -A3 'DNS Servers'
dig +short TXT whoami.akamai.net

První příkaz ukazuje, který server odpověděl za nějaké jméno, druhý ukazuje nakonfigurovaný seznam a jeho rozsah a třetí hlásí adresu resolveru tak, jak ji vidí veřejná služba. Když se všechny tři shodují, zásada dělá to, k čemu byla nastavena, ať už označení země říká cokoli.

Porovnejte se zásadou, kterou jste zvolili

VPN, který vnucuje resolver, prohlížeč nastavený na vlastní šifrované DNS a operační systém, který upřednostňuje nastavení jednoho rozhraní, mohou být jednotlivě správné, a přesto si navzájem odporovat. Moderní prohlížeče mohou posílat dotazy šifrovaným přenosem poskytovateli zvolenému v prohlížeči, což záměrně obchází systémový seznam resolverů. To není únik ve smyslu rozbitého tunelu; je to zásada zvolená jinde a najít, kde byla zvolena, je skutečný úkol.

Pracovní zařízení přidávají pravidla pro konkrétní domény: interní jména musí jít do resolveru organizace, zatímco vše ostatní následuje výchozí nastavení. Nahradit toto uspořádání proto, že testovací stránka ukázala nečekanou zemi, je způsob, jak interní jména přestanou fungovat celému týmu.

Držte testy úzké a bezpečné

Dotaz na veřejnou testovací službu ohledně interního jména hostitele prozradí jméno straně, která s ním nemá co dělat, a odpověď vám neřekne nic, co by místní čtení seznamu resolverů neřeklo.

Místo toho používejte jména, která odhalují infrastrukturu, zaznamenejte adresu resolveru, rozsah a použité rozhraní a porovnejte tento záznam s dokumentovaným úmyslem. Označení na mapě je kontext pro rozhovor, nikoli výsledek prošlo či neprošlo, a zacházení s ním jako s verdiktem vytváří změny konfigurace místo diagnostiky.