Eich cwymp DNS VPN: i ble mae'r ymholiad yn mynd go iawn

Mae gosodiad datryswr yn troi o'r cyfeiriad preifat i un cyhoeddus, ac mae'r casgliad yn cyrraedd ar unwaith: mae'r twnnel yn gollwng. Weithiau mae hynny'n wir. Yn aml, teithiodd yr ymholiad cwympo o hyd o fewn y twnnel i ddatryswr a ddewiswyd gan y gweinyddwr, sy'n ei wneud yn benderfyniad polisi yn hytrach nag yn ddiffyg. Mae gwahanu'r achosion hynny yn gofyn am dri ffaith yn hytrach nag un, a'r gyntaf ohonynt yw pwy a atebodd. Darganfyddwch pwy a dderbyniodd yr ymholiad, pa lwybr a'i cludodd a pha enwau a ofynnwyd amdanynt.

Polisi yw'r cwympo, nid un ymddygiad

Rhaid i bob cleient benderfynu beth i'w wneud pan fydd y datryswr a ffefrir yn peidio ag ateb. Gall rwystro datrysiad, ceisio eto, defnyddio dewislen wedi'i ffurfweddu, neu ohirio i'r system weithredu, ac mae'r rheini'n bedwar cynnyrch gwahanol o safbwynt preifatrwydd. Mae darllen y sgrin osodiadau yn dweud wrthych pa ymddygiad sydd wedi'i ffurfweddu; nid yw'n dweud wrthych pa un a ddigwyddodd. Nid yw sgrin sy'n cynnig un swits yn disgrifio pedair posibilrwydd.

Mae porwyr yn ychwanegu eu haen eu hunain. Porwr â DNS diogel wedi'i alluogi yn gallu datrys enw drwy'r darparwr o'i ddewis ei hun hyd yn oed pan fydd y system weithredu yn pwyntio i rywle arall, sy'n golygu efallai na fydd polisi cleient y twnnel byth yn cael ei ymgynghori ar gyfer y ceisiadau rydych chi wir yn poeni amdanynt. Gwiriwch y rhaglen a wnaeth y cais, nid y gosodiad system yn unig.

Hunaniaeth y datryswr amnewid yw'r ffaith gyntaf sy'n werth ei sefydlu. Mae datryswr cyhoeddus sy'n perthyn i ddarparwr rydych chi'n ymddiried ynddo'n barod yn sefyllfa wahanol i gyfeiriad a roddir gan y rhwydwaith rydych chi'n digwydd bod arno. Anaml y mae'r cyfeiriad ei hun yn dweud wrthych pa un o'r rheini rydych chi'n edrych arno.

Pwy sy'n derbyn yr ymholiad ar ôl y newid

Mae'r derbynnydd a'r llwybr yn annibynnol, a dim ond eu cyfuniad sy'n disgrifio'r amlygiad. Nid yw datryswr cyhoeddus a gyrhaeddir drwy'r twnnel byth yn gweld cyfeiriad eich rhwydwaith mynediad, tra bod yr un datryswr a gyrhaeddir yn uniongyrchol yn ei weld. Mae'r ddau achos yn cynhyrchu ateb, a bydd prawf gollyngiad sy'n adrodd dim ond cyfeiriad y datryswr yn eu disgrifio'n unfath. Gofynnwch am y rhyngwyneb yn ogystal â'r cyfeiriad pan fyddwch yn darllen y canlyniad.

Mae enwau mewnol yn gwneud y gwahaniaeth yn goncrit. Fel arfer ni all datryswr cyhoeddus ateb enw gorwel hollt, felly mae'r ymholiad yn methu tra mae'r enw wedi'i ddatgelu o hyd i barti heb fusnes iddo ei weld. Felly mae argaeledd a phreifatrwydd yn symud gyda'i gilydd yma yn hytrach na chyfnewid.

Gall twnnel hefyd gludo'r ymholiad i ddatryswr nad yw'r darparwr VPN yn ei weithredu, oherwydd mae'r twnnel yn anfon ymlaen yn hytrach na datrys. Mae'r gwesteiwr sy'n anfon ymlaen yn gweld yr ymholiad mewn testun plaen ac yna'n agor ei gysylltiad ei hun ymlaen, sy'n amddiffyn y naid nesaf heb amddiffyn yr un gyntaf.

Gwiriwch y llwybr a'r derbynnydd gyda'i gilydd

Arsylwch y pecynnau yn hytrach na'r ffurfweddiad. Gofynnwch i'r system pa ddatryswr a ddefnyddid, yna cadarnhewch fod yr ymholiad wedi gadael o'r rhyngwyneb disgwyliedig i'r cyfeiriad disgwyliedig mewn gwirionedd.

resolvectl status | grep -E "Current DNS Server|DNS Servers|DNSOverTLS"
dig +short example.com
tcpdump -ni any udp port 53 or tcp port 853

Os yw'r cipiad yn dangos yr ymholiad yn gadael y rhyngwyneb ffisegol tra mae'r twnnel i fyny, aeth y cwympo heibio'r twnnel waeth beth mae'r rhestr datryswyr yn ei ddweud. Os yw'n ymddangos ar ryngwyneb y twnnel, mae'r cwestiwn yn dod yn un ynghylch pwy sy'n gweithredu'r pen pell a beth mae'n ei gadw.

Ailadroddwch y gwirio ar gyfer un enw mewnol ac un enw cyhoeddus. Yr ymholiad mewnol yw lle mae ffurfweddiad cwympo fel arfer yn datgelu ei hun, oherwydd mae datryswr na all ateb yn dal i dderbyn y cwestiwn.

Penderfynwch a ddylid caniatáu'r cwympo

Os mai'r gofyniad yw bod datrysiad yn stopio pan nad yw'r datryswr a ffefrir ar gael, ffurfweddwch bolisi gorfodi sy'n methu ar gau a derbyniwch y canlyniad: ni fydd enwau'n datrys yn ystod methiant. Masnach argaeledd fwriadol yw hynny yn hytrach na chamweithrediad, a dylai'r dyluniad ddweud hynny cyn i'r methiant ddigwydd.

Os mai'r gofyniad yn unig yw na chaiff ymholiadau deithio y tu allan i'r twnnel, gall datryswr cyhoeddus a gyrhaeddir drwy'r twnnel fod yn dderbyniol ar yr amod bod y gweithredwr a'i bolisi cadw yn cael eu deall. Mae derbyniad o'r fath yn farn am drydydd parti yn hytrach na datganiad am grifftograffeg, ac mae'n perthyn i bwy bynnag sy'n berchen ar yr hawliad preifatrwydd. Os oes rhaid i enwau mewnol barhau i weithio, rhaid i'r cwympo fod yn ddatryswr sy'n dal y parthau mewnol, sy'n golygu fel arfer mai gweinydd gwahanol yw targed y cwympo yn hytrach na theulu cyfeiriad gwahanol.

Dogfennwch y canlyniad fel brawddeg am ymddygiad: pa ddatryswr sy'n derbyn ymholiadau mewn gweithrediad arferol, pa un sy'n eu derbyn ar ôl methiant, ac a yw enwau mewnol yn datrys yn yr ail achos. Mae prawf gollyngiad sy'n llwytho tudalen o'r diwedd yn profi llai na'r frawddeg honno, oherwydd gall tudalen lwytho drwy ddatryswr na ddylid byth fod wedi ymgynghori ag ef.