Cofnodion datryswr DNS a chofnodion cysylltiad VPN: beth mae pob un yn ei gadw

Mae cofnod datryswr DNS a chofnod cysylltiad VPN ill dau yn gofnodion rhwydwaith, ill dau yn ddefnyddiol, ac nid ydynt yn gyfnewidiol. Mae'r datryswr yn derbyn enwau y gofynnwyd iddo eu hateb. Mae pwynt terfyn y VPN yn trin cysylltiadau twnnel ac yn cofnodi beth bynnag y dewisodd ei weithrediad ei gofnodi amdanynt. Gallant fod yn yr un adeilad, gael eu gweithredu gan yr un tîm a chael eu cwmpasu gan yr un hysbysiad preifatrwydd, ac eto maent yn disgrifio digwyddiadau gwahanol gyda dynodwyr gwahanol a chyfnodau cadw gwahanol. Darllen un fel pe bai'r llall yw'r ffordd y mae ymchwiliadau'n mynd ar gyfeiliorn.

Dau gofnod, dau ddigwyddiad

Mae cofnod datryswr yn ateb cwestiwn am enwi: gofynnodd y cleient hwn am yr enw hwn ar yr adeg hon, a'r ateb oedd hwn. Mae cofnod VPN yn ateb cwestiwn am gysylltedd: sefydlodd neu gollodd y cymar hwn dwnnel, rhoddwyd y cyfeiriad hwn iddo, a throsglwyddodd tua chymaint o ddata cyn diflannu. Nid yw'r naill na'r llall yn gofnod o'r hyn a wnaeth y defnyddiwr y tu mewn i sesiwn HTTPS, ac nid yw'r naill yn cymryd lle'r llall.

Mae gan y gwahaniaeth ganlyniad ymarferol i addewidion. Nid yw datganiad nad yw darparwr VPN yn cofnodi gweithgarwch twnnel yn dweud dim am y datryswr y mae'n ei roi, ac nid yw polisi cadw datryswr yn dweud dim am bwy a gysylltodd â'r twnnel. Mae pob honiad yn perthyn i'w weithredwr a'i system ei hun.

Dilynwch yr ymholiad cyn darllen y naill gofnod na'r llall

Nid yw ymholiad yn cyrraedd datryswr oni bai bod y llwybr yn gofyn iddo mewn gwirionedd. Gall cymhwysiad ddefnyddio datryswr y system weithredu, rhedeg ei glient DNS amgryptiedig ei hun, neu ddarllen ateb wedi'i storio a pheidio ag anfon dim byth. Felly nid yw cofnod datryswr sy'n dangos dim yn dystiolaeth na ddefnyddiwyd enw byth; mae'n dystiolaeth na ofynnwyd i'r datryswr hwn.

resolvectl status
dig @127.0.0.53 build.corp.example +qr
journalctl -u systemd-resolved -n 20 --no-pager

Mae'r gorchymyn olaf hwnnw'n darllen dyddiadur y datryswr lleol ei hun, nad yw'r un peth â chofnod y gweinydd uwch. Os yw eich ymholiadau'n gadael trwy DNS over HTTPS i ddarparwr, efallai na fydd y stub lleol yn dangos dim tra bod y cofnod cyflawn gan y darparwr, a gweithredwr gwahanol â pholisi gwahanol yw'r darparwr.

Beth y gall pob cofnod ei ddangos a beth na all

Mae eu huno yn lle mae'r gwaith go iawn, ac nid yw eu huno bob amser yn bosibl. Gellir cymharu datryswr sy'n cofnodi cyfeiriadau cleientiaid â VPN sy'n dyrannu cyfeiriadau o bwll hysbys, ac mae'r gymhariaeth honno'n creu cysylltiad credadwy rhwng enw a ofynnwyd amdano a thwnnel, sy'n parhau i fod yn gysylltiad rhwng dau gofnod yn hytrach na chofnod am berson.

Mae DNS amgryptiedig yn newid y cludiant, nid y gwelededd yn y pwynt terfyn. Mae'r datryswr yn dal i dderbyn y cwestiwn y mae'n ei ateb, fel y mae RFC 8484 yn ei egluro'n glir, ac mae cadw yn y datryswr hwnnw'n benderfyniad polisi yn hytrach na nodwedd o'r protocol.

Lle mae DNS hollt a chachesofyddion yn drysu'r stori

Mae sawl datryswr yn normal. Mae dyluniad DNS hollt yn anfon enwau mewnol i weinydd mewnol a phopeth arall i un cyhoeddus, felly gall un ymchwiliad gynnwys dau gofnod na fu erioed yn fwriad i'w cyfuno a dau osodiad cadw na fu erioed yn fwriad i'w cymharu. Mae gweld ymholiadau ar y ddau yn dystiolaeth bod y dyluniad yn gweithio, nid yn dystiolaeth o ollyngiad.

Mae cachesofyddion yn torri'r ffordd arall. Gall enw poblogaidd gael ei ateb o'r storfa am oriau, felly mae cofnod y datryswr yn dangos yr ymholiad cyntaf ac yna dim, tra bod cymhwysiad y defnyddiwr yn dal i ddatrys yr un enw'n fodlon. Nid yw absenoldeb cofnodion ar ôl amser penodol yn golygu na ddefnyddiodd neb yr enw ar ôl yr amser hwnnw.

Trafnidiaeth cefndir yw'r trydydd ystumiad. Mae ffôn sy'n datrys enw telemetreg wrth gychwyn, porwr sy'n datrys parth awgrym chwilio, a rhaglen ddiweddaru sy'n talu ymweliad bob awr i gyd yn ymddangos mewn cofnod datryswr ochr yn ochr â'r enw y gofalwch amdano mewn gwirionedd. Nid yw maint yn y cofnod hwnnw'n sylw, ac nid yw cyfrif ymholiadau'n cyfrif ymweliadau. Cofnod o gwestiynau yw cofnod datryswr, ac mae cwestiynau'n rhad i'w cynhyrchu.

Gofynnwch y cwestiynau cadw ar wahân

Ar gyfer pob system, gofynnwch dri chwestiwn: pwy sy'n casglu, beth sy'n cael ei gasglu, a am ba hyd y caiff ei gadw. Yna gofynnwch pwy all ei ddarllen ac o dan ba broses. Mae trafodaeth RFC 8484 ar DNS over HTTPS yn atgof da nad yw cludiant amgryptiedig yn dileu'r pwynt terfyn, a dogfennaeth yr gweithredwr ei hun yw'r unig ddatganiad dibynadwy am yr hyn y mae'r pwynt terfyn hwnnw'n ei gadw.

Pan wneir honiad am breifatrwydd am “y VPN”, rhannwch ef yn gydrannau cyn ei dderbyn: gweithredwr y twnnel, y datryswr y mae'r twnnel yn ei roi, unrhyw ddatryswr uwch y mae'r ymholiadau hynny'n ei gyrraedd, a'r cymhwysiadau ar y ddyfais. Mae gan bob un ei ateb ei hun, ac mae honiad sy'n gywir ar gyfer un yn cael ei ailadrodd yn rheolaidd fel pe bai'n cwmpasu'r pedwar i gyd.

Ar gyfer datrys problemau, defnyddiwch yr un hollt. Gofynnwch pa gymhwysiad a wnaeth yr ymholiad a pha ddatryswr a'i hatebodd, yna edrychwch ar y cofnod sy'n berchen ar y digwyddiad hwnnw mewn gwirionedd. Mae dyfalu o'r cofnod arall yn arbed munud ac yn costio prynhawn.