Nid yw DNS yn datrys ar ôl i kill switch VPN rwystro port 53
Gall kill switch rwystro DNS yn fwriadol. Cymharwch ddatrysiad dim ond o fewn y twnnel ag eithriad ar gyfer datryswr lleol, yna penderfynwch pa haen sydd wedi methu.
Pan fydd y kill switch yn gollwng y twnnel, mae'n mynd â llwybr DNS gydag ef, ac anaml y mae'r datryswr sy'n cael ei adael ar ôl yr un yr ydych yn ei ddisgwyl. Mae dau ddyluniad yn trin y foment honno'n wahanol iawn: rhwystro pob pecyn DNS nad yw o fewn y twnnel, neugadael un datryswr yn sefyll fel eithriad. Mae'r ddau yn amddiffynadwy. O dab porwr mae'r symptomau'n edrych bron yn unfath, felly'r dasg gyntaf yw canfod pa ddyluniad rydych wedi'i ddefnyddio mewn gwirionedd.
Rwy'n cadw'r gwahaniaeth hwnnw o flaen fy llygaid oherwydd mae'r cywiriad yn groes ym mhob achos. Mae un dyluniad angen eithriad ehangach; mae'r llall angen un gulach. Mae dyfalu yn costio naill ai preifatrwydd neu brynhawn i chi.
Dau ddyluniad DNS ar gyfer yr un diffyg
Mae dyluniad A yn trin y datryswr fel unrhyw wasanaeth arall y tu ôl i'r twnnel. Mae rheolau'r mur cadarn yn caniatáu UDP a TCP 53 ar ryngwyneb y twnnel yn unig, a'r cyfeiriad a roddir i'r cleient yw datryswr y tu mewn i'r twnnel. Pan fydd y twnnel yn cwympo, mae'r chwiliadau'n stopio, a dyna'r canlyniad a fwriadwyd yn hytrach na chamwedd.
Mae dyluniad B yn cadw datryswr yn gyraeddadwy ar y rhwydwaith lleol, fel arfer y llwybrydd ar 192.168.1.1 neu stub y system weithredu ar 127.0.0.53, ar y sail na ddylai datrysiad enwau farw gyda'r twnnel. Mae'n gyfleus ar LAN cartref lle mae'r llwybrydd yn datrys ar gyfer y tŷ i gyd. Ar Wi-Fi gwesty neu faes awyr mae'r un eithriad yn pwyntio at weinydd rhywun arall, a bydd pob enw rydych yn ei deipio yn cael ei ddatgelu er bod eich traffig gwe yn parhau i fod wedi'i rwystro.
Y ffin yw pwy sy'n berchen ar y datryswr. Os ydych yn ymddiried yn yr un lleol, mae eithriad yn dwll bach, gonest. Os nad ydych, y dyluniad twnnel-yn-unig yw'r unig un sy'n dal, a'r pris yw bod twnnel sydd wedi cwympo yn mynd â phob enw gydag ef.
Pam mae chwiliad y cleient VPN ei hun yn dal i weithio
Rhaid i'r cleient ddatrys enw cynnal y porth cyn bod twnnel yn bodoli, felly ni chaiff bloc llym gynnwys llwybr cychwyn y cleient. Mae'r rhan fwyaf o gleientiaid naill ai'n cadw cyfeiriad y pen draw mewn storfa neu'n cyflenwi eithriad cychwyn dogfennedig ar gyfer yr un cynnal hwnnw. Os yw eich set rheolau'n rhwystro'r chwiliad hwnnw, ni ddaw'r twnnel yn ôl byth ac mae'r logiau'n dangos cleient na all gyrraedd ei weinydd ei hun, sy'n ddiffyg polisi yn hytrach na diffyg DNS.
DNS hollt yw'r lle arall y mae hyn yn ymddangos. Mae'r cleient yn gwthio parth mewnol i ddatryswr preifat ac yn gadael popeth arall gyda datryswr y system. Ar ôl cwymp, gall enwau cyhoeddus ddatrys o hyd tra bod rhai mewnol yn dod i ben, oherwydd nid oes gan y parth preifat unrhyw lwybr ar ôl. I'r defnyddiwr dyna "aeth y VPN â'r rhyngrwyd"; i log y datryswr dyna ymholiad na chyrhaeddodd erioed.
O dan systemd-resolved gallwch weld yr hollt yn uniongyrchol.resolvectl statusyn rhestru gweinyddwyr DNS fesul cysylltiad a'r parthau llwybro, ac ar ôl i'r twnnel fynd i lawr mae'r parth mewnol yn dal i bwyntio at weinydd ar gysylltiad nad yw'n bodoli mwyach. Mae'r stub ar 127.0.0.53 yn dal i dderbyn yr ymholiad, yna'n aros ar uwch-lif na fydd yn ateb, a dyna pam mae'r methiant yn cymryd eiliadau yn lle dychwelyd ar unwaith.
Nid yw DNS amgryptiedig yn osgoi hidlydd pecynnau
Mae DNS dros HTTPS a DNS dros TLS yn teithio ar 443 a 853, felly nid yw rheol sy'n rhwystro port 53 wedi dweud dim amdanynt. Mae rhwystro "DNS" yn ôl port yn bolisi am borth, nid am ddatrysiad enwau. Os yw eich kill switch yn rhwystro'r holl draffig y tu allan i'r twnnel, mae DoH yn cael ei gynnwys ar ddamwain. Os ydych wedi neilltuo caniatâd ar gyfer porth caeth neu ddatryswr cyhoeddus, nac ydyw.
Rheolyddion ochr y cleient yw'r lifer rhatach. Mae Firefox yn rhoi'r gorau i'w ddatryswr DoH pan nad yw'r enw caneriuse-application-dns.netyn datrys, a dyna pam mae rhwydweithiau wedi'u rheoli yn cyhoeddi'r parth hwnnw fel NXDOMAIN; gall polisi menter ei binio i ffwrdd hefyd. Mae gan Android Private DNS a DNS diogel Chrome eu switshis eu hunain a'u rhagosodiadau eu hunain. Mae diffodd y rheini'n fwy dibynadwy na mynd ar drywydd cyfeiriadau datryswyr, oherwydd mae'r rhestr cyfeiriadau'n newid ac nid yw eich set rheolau yn newid.
Mae fersiwn o hyn nad yw o gwbl yn ymwneud â gollyngiadau. Mae angen llwybr rhwydwaith ar raglen sydd â datryswr wedi'i binio o hyd i'w gyrraedd. Mae amgryptio'n newid pwy all ddarllen yr ymholiad, nid a all y pecyn adael y peiriant, felly mae bloc ar gyfer y ddyfais gyfan yn trechu'r gosodiad heb gyffwrdd ag ef.
Cyfatebwch y symptom i'r haen
Mae'r rhan fwyaf o adroddiadau'n cyrraedd fel un frawddeg, ac mae'r frawddeg honno fel arfer yn enwi'r haen yn barod. Y tabl isod yw'r hyn rwy'n ei redeg drwyddo cyn cyffwrdd rheol; y pwynt yw penderfynu a gafodd yr ymholiad ei rwystro, ei gamgyfeirio, neu ei anfon byth.
| Symptom | Likely layer | First check |
|---|---|---|
| Every name fails at once, instantly | Resolver answering with a refusal | Query the resolver by address, not by name |
| Lookups hang for seconds, then time out | Packets dropped with no response | Watch port 53 on the physical link |
| Public names resolve, internal ones do not | Split-DNS routing domain | Per-link DNS servers on the tunnel |
| Names resolve, the page still fails | Not DNS: routing or MTU | Connect to the IP directly |
| Only one application fails | Pinned resolver or cached answer | Check that app's DNS setting |
Y ddwy res gyntaf yw'r rhai y mae pobl yn eu camddehongli. Mae cwymp tawel ac ymwrthod ill dau yn edrych fel "mae DNS wedi torri" mewn porwr, ond dim ond un ohonynt sy'n golygu bod eich kill switch yn gwneud ei waith. Mae ymwrthod yn golygu bod rhywbeth wedi ateb, felly nid yw'r bloc lle'r ydych yn meddwl.
Adferwch bolisi'r datryswr, yna profwch ef
Trwsiwch y dyluniad, nid y symptom. Ar gyfer datrysiad twnnel-yn-unig, caniatewch 53 ar ryngwyneb y twnnel, gwthiwch y datryswr mewnol gyda chyfluniad y twnnel, a gadewch y cysylltiad ffisegol heb unrhyw ganiatâd DNS. Gyda wg-quick y llinellDNS =sy'n ysgrifennu'r datryswr i gyfluniad y rhyngwyneb, felly mae twnnel sy'n ei hepgor yn gadael yr hen ddatryswr yn ei le ac mae pob ymholiad ar y llwybr anghywir.llawlyfr wg-quickyn dogfennu'r ymddygiad hwnnw fesul platfform.
Yna gwiriwch yn y drefn hon. Ar Linux maeresolvectl statusyn dangos y cysylltiad actif,dig +short example.comyn profi enw cyhoeddus,dig @10.8.0.1 internal.example.comyn profi'r un preifat, ac maesudo tcpdump -ni any port 53yn dangos pa ryngwyneb y mae'r pecynnau'n ei ddefnyddio wrth i chi redeg y ddau. Ar Windows maeGet-DnsClientServerAddress -AddressFamily IPv4aResolve-DnsName example.comyn rhoi'r un ddau ffaith: pwy sydd wedi'i ffurfweddu, a phwy sy'n ateb.
Gorffennwch â'r prawf negyddol. Datgysylltwch y twnnel, cadarnhewch fod enw cyhoeddus newydd yn methu, cadarnhewch fod yr enw preifat yn methu, achadarnhewch na adawodd unrhyw becyn port 53 y addasydd ffisegol. Nid yw bloc sy'n dal dim ond ar gyfer atebion wedi'u storio yn dal o gwbl.
Rhestr wirio cyn i chi gau'r tocyn:
- Y datryswr a ddefnyddiwyd yn ystod y diffyg yw'r un y mae'r polisi'n ei fwriadu.
- Mae chwiliad pen draw'r cleient ei hun yn dal i gael ei ganiatáu, trwy storfa neu eithriad.
- Mae DoH a DoT naill ai'n cael eu cynnwys gan y bloc neu wedi'u hanalluogi gan bolisi.
- Mae parthau preifat yn methu ar gau, nid ar agor, unwaith y bydd y twnnel wedi mynd.