A yw DNS eich VPN yn cael ei ddefnyddio go iawn? Deliwch borth 53 a gweld

Gofynnwch i’r rhan fwyaf o bobl beth mae cleient VPN yn ei wneud gyda DNS a byddant yn dweud ei fod yn gosod y datryswr, felly mae ymholiadau’n teithio y tu mewn i’r twnnel. Mae’r gwthio’n wir; nid yw’r dybiaeth ei fod yn dod yn ymholiad. Rhwng opsiwn a wthiwyd a phecyn ar y weiren mae tri cham, ac mae pob un yn methu’n annibynnol mewn ffyrdd sy’n edrych fel gweinydd DNS wedi torri. Dyna pam y gall tudalen brawf gollyngiad a phorwr sy’n gweithio anghytuno am yr un peiriant ar yr un funud.

Nid yw opsiwn a wthiwyd yn ymholiad

Y cam cyntaf yw’r gweinydd yn cynnig gosodiadau, er enghraifft opsiwn DNS a wthiwyd sy’n enwi datryswr y tu mewn i’r twnnel. Yr ail gam yw’r cleient yn cymhwyso’r gosodiadau hynny i ryngwyneb. Y trydydd cam yw rhaglen yn anfon ymholiad at y cyfeiriad hwnnw mewn gwirionedd. Mae methiant yn yr ail gam yn gadael yr opsiwn yn weladwy yn y log cysylltiad tra bo’r rhestr datryswyr heb newid, ac mae methiant yn y trydydd cam yn gadael rhestr datryswyr hollol gywir heb ei defnyddio.

Mae’r rhan fwyaf o ddatrys problemau yn cyfuno’r tri hynny’n un ac yn beio’r gweinydd VPN, sef yr unig barti a all fel arfer brofi iddo wneud ei ran. Darllenwch gyflwr gwirioneddol datryswr y cleient yn lle hynny, yna gwyliwch un ymholiad yn gadael. Mae’r ddau arsylwi hynny’n gwahanu cyfluniad oddi wrth lwybro ac oddi wrth bolisi, ac maent yn costio tua phum munud. Cadwch y delweddau, oherwydd mae’r peiriannydd nesaf eisiau’r cyn a’r ar ôl yn hytrach na disgrifiad ohonynt.

Gwiriwch beth sydd gan y rhyngwyneb mewn gwirionedd

Ar Linux gall y datryswr system fod yn ffeil blaen, yn NetworkManager neu’n systemd-resolved, a pha un ohonynt sy’n berchen arno sy’n penderfynu ble mae gweinydd a wthiwyd yn glanio. Nid yw proses OpenVPN o’r llinell orchymyn yn diweddaru datryswr y system ar ei liwt ei hun, felly’r integreiddiad dogfennedig yw sgript up/down neu reolwr cysylltiad sy’n gwybod yn barod sut i gymhwyso’r gosodiadau. Mae rhedeg y ddau yn ffordd effeithlon o greu ras.

resolvectl status
cat /etc/resolv.conf

Ar Windows mae’r rhestr fesul addasydd, felly gall yr addasydd twnnel ddal y gweinyddion mewnol tra bo’r addasydd corfforol yn cadw’r rhai lleol ac yn ennill ar gyfer rhai enwau. Cymharwch y ddau addasydd yn hytrach na’r un yr ydych yn tybio sy’n actif.

Dilynwch un ymholiad oddi ar y peiriant

Deliiwch y ddau ryngwyneb ar yr un pryd, yna datryswch un enw a ddylai ddefnyddio’r datryswr mewnol. Mae’r pâr hwnnw o ddelweddau’n ateb yr hyn na all unrhyw allbwn cyfluniad ei ateb.

sudo tcpdump -ni tun0 port 53
sudo tcpdump -ni any port 53

Mae ymholiad sy’n ymddangos ar y rhyngwyneb corfforol ac yn byth yn y twnnel yn golygu bod y cleient wedi dewis y datryswr anghywir. Mae ymholiad ar y naill na’r llall yn golygu bod y rhaglen wedi ateb o’r storfa, wedi gofyn i stub sy’n gwrando ar loopback, neu wedi defnyddio datryswr amgryptiedig nad yw ei draffig byth yn ymddangos fel porth 53. Deliiwch atebion yn ogystal ag ymholiadau, oherwydd bod ymholiad yn gadael trwy’r twnnel ag ateb o gyfeiriad cyhoeddus yn fai gwahanol i ddim ateb yn cyrraedd.

Y wal dân sy’n derbyn dim ond ei DNS ei hun

Weithiau mae cleientiaid masnachol yn gosod cadwyni hidlo eu hunain. Mae un patrwm dogfennedig yn caniatáu DNS i ddatryswr y cleient ei hun ac yn taflu’r holl draffig UDP porth 53 sy’n weddill sy’n ceisio gadael rhyngwyneb nad yw’n loopback, gan gynnwys traffig a lwybrwyd yn fwriadol i rywle arall. Mae ymholiadau’r daemon yn diflannu heb ôl, sy’n cael ei ddarllen fel methiant datryswr yn hytrach na hidlydd.

sudo iptables -S OUTPUT
sudo iptables -S | grep -i -E 'dns|53'

Os bernir rheol daflu cyn eich eithriad, ni chyrhaeddir rheol a ychwanegwyd byth, felly mewnosodwch hi yn y safle cyntaf a chyfyngwch y cyrchfan i’r datryswr yr ydych yn ei olygu mewn gwirionedd.

sudo iptables -I OUTPUT 1 -p udp --dport 53 -d 172.20.8.1 -j ACCEPT

Mae’r eithriad hwnnw’n ddiagnostig yn hytrach na pholisi. Os yw rheol y gwerthwr yn fwriadol, y trwsgl cefnogol yw ffurfweddu’r cleient i ganiatáu’r datryswr hwnnw a chofnodi’r penderfyniad, oherwydd ni fydd rheol a fewnosodwyd yn goroesi’r diweddariad cleient nesaf.

Pam mae tudalen gollyngiad yn profi llai nag y mae’n ymddangos

Yr hyn y mae tudalen brawf gollyngiad yn ei ddangos yw’r datryswr a siaradodd â gweithredwr y prawf, nid yr un y gofynnodd eich peiriant iddo. Mae anfonydd lleol sy’n ailgylchu allan yn rhoi ei gyfeiriad allanfa ei hun ar y dudalen honno, a gall ymholiadau amgryptiedig adael y dudalen yn gwbl wag. Mae’r ddau ganlyniad yn cael eu camddarllen, un fel gollyngiad a’r llall fel gwarant, ac nid oes yr un darlleniad yn dilyn o’r arsylwi.

Y dystiolaeth amddiffynadwy yw’r daliad: rhyngwyneb, cyfeiriad cyrchfan, ateb a stamp amser. Cymerwch un cyn i’r twnnel godi ac un ar ôl, a’u cymharu’r tro nesaf y bydd enw’n methu. Mae’r pâr hwnnw hefyd yn dweud wrth y person nesaf ai datrysiad, llwybro neu bolisi mynediad y datryswr ei hun oedd y bai.