Pwy sy’n rhedeg 1.1.1.1? Gwirio cyfeiriad DNS cyn ymddiried ynddo

Gwnaethoch ludo 1.1.1.1 i faes DNS y VPN, llwythodd y dudalen, ac mae’r tiwtorial bellach yn edrych yn gadarn. Mae’r arsylwad hwnnw’n gulach nag y mae’n teimlo: bu’r cymhwysiad yn ymddwyn yn wahanol, ac nid yw’r newid yn dweud dim eto am bwy a atebodd yr ymholiad na pham y methodd yr hen drefniant. Mae tiwtorial copïedig yn aml yn galw cyfeiriad cyhoeddus cyfarwydd yn “DNS y VPN”, ac mae hynny’n honiad am berchnogaeth yn hytrach nag am gyrhaeddiad. Mae gwirio beth mae’r cyfeiriad yn ei gynrychioli’n cymryd pum munud ac yn atal newid parhaol a wneir am y rheswm anghywir.

Nid yw gosodiad sy’n gweithio yn hunaniaeth

Mae’r cyfeiriad mewn maes gosodiadau’n bwynt terfyn, ac mae gan bwynt terfyn weithredwr. Mae’r ddau ffaith hyn ar wahân, a’r ail un yw’r un y mae pobl yn ei hepgor. Ar gyfer y pâr a gopïir amlaf, mae’r ateb yn gyhoeddus: mae Cloudflare yn cyhoeddi 1.1.1.1 a 1.0.0.1 fel ei gyfeiriadau datryswr, ac yn eu rhestru yn ei gyfeirlyfr cyfeiriadau swyddogol. Dyna pam mae enw’r gweithredwr yn perthyn wrth ymyl y cyfeiriad, nid mewn tiwtorial ar wahân.

Nid yw nodi’r pâr hwnnw tra mae twnnel i fyny yn gwneud cwmni’r VPN yn weithredwr y pâr, ac nid yw’n gwneud y traffig yn ddienw. Mae’r ymholiad yn gadael eich peiriant i gwmni sy’n cyhoeddi’r ystod cyfeiriadau, ac mae’n bosibl bod y cwmni hwnnw’n barchus ac eto nid ef yw’r parti a awgrymwyd gan y tiwtorial. Mae’r label yn y cyfarwyddiadau a’r gweithredwr mewn gwirionedd yn honiadau gwahanol. Nid yw’r naill na’r llall yn dweud pwy sy’n rhedeg y llwybr rhwydwaith rhyngddynt.

Defnyddiwch gyfeirlyfr cyhoeddedig y datryswr ei hun i gadarnhau pâr cyfeiriadau neu bwynt terfyn amgryptiedig. Gall argymhelliad gan werthwr arall fod yn ddilys, ac mae “a argymhellwyd gan”, “a gyrhaeddwyd trwy” ac “a weithredir gan” yn dal i ddisgrifio tri chysylltiad gwahanol.

Cymharwch y tri pheth y mae cofnod yn eu hangen

Mae cofnod sy’n barod i’w adolygu’n gwahanu tri chwestiwn: pwy ddylai dderbyn yr ymholiad, a yw’r cyfnewidiad yn blaen neu’n amgryptiedig, a pha lwybr ddylai ei gario. Ni all enw darparwr lenwi’r ail na’r trydydd, ac ni all label gwlad lenwi’r un ohonynt. Ysgrifennwch y tri chofnod cyn y newid a’u cymharu wedyn. Nid yw’r cofnodion hynny’n gyfnewidiol, a’u trin fel un yw’r ffordd y mae dyfaliad yn dod yn ddogfennaeth.

Y gymhariaeth sy’n troi gosodiad sy’n gweithio yn benderfyniad wedi’i ddogfennu. Hebddi, mae’r person nesaf yn etifeddu cyfeiriad heb reswm ynghlwm. Darllenwch drydedd golofn y tabl isod yn gyntaf, oherwydd dyna lle mae’r rhan fwyaf o esboniadau hyderus yn gorffen mewn gwirionedd.

Mae’r tabl yn fwriadol fyr. Ei bwynt yw bod pob cofnod yn ateb cwestiwn gwahanol, ac nad oes un maes yn llenwi’r tri.

Mae anfonydd lleol yn cuddio’r ffynhonnell wirioneddol

Mae dyfais sydd wedi’i gosod i ddefnyddio ei llwybrydd fel DNS yn pwyntio at anfonydd. Mae’r cyfeiriad hwnnw’n nodi’r nesaf i dderbyn yr ymholiad, nid y datryswr sy’n ei ateb yn y pen draw. Mae datryswr stub lleol yn ychwanegu’r un cam ychwanegol, ac mae’n hawdd ei gamgymryd am y peth go iawn oherwydd ei fod yn ymddangos ym mhob allbwn statws.

Mae’r stub yn anfon ymlaen at ffynonellau y mae’r un allbwn yn eu rhestru hefyd, fel arfer ymhellach i lawr. Darllenwch y gadwyn gyfan cyn dod i unrhyw gasgliad am y gweithredwr, oherwydd nid y llinell gyntaf yw’r ateb cyfan. Fel arall, rydych chi’n enwi’r ddesg flaen fel y cwmni.

resolvectl status | grep -A4 'Current DNS Server'
dig +short CH TXT whoami.cloudflare @1.1.1.1
dig example.com | grep -E '^;; SERVER'

Mae’r ail orchymyn yn defnyddio enw atsain datryswr, lle mae’r gweithredwr yn cyhoeddi un, i adrodd y cyfeiriad ffynhonnell a welir. Mae’r trydydd yn enwi’r gweinydd a atebodd, ac yn aml nid dyna’r cyfeiriad a ffurfweddwyd gennych. Cymharwch y tri allbwn cyn ysgrifennu gweithredwr i lawr.

Mae DNS amgryptiedig yn newid beth sy’n weladwy, nid pwy sy’n ei weld

Mae DNS over HTTPS a DNS over TLS yn diogelu’r cyfnewidiad rhwng cleient a datryswr. Mae’r datryswr yn dal i ddarllen pob enw y gofynnir iddo amdano, oherwydd ateb yw’r gwaith. Yr hyn sy’n newid yw pwy all wylio’r cyfnewidiad: mae’r rhwydwaith lleol yn gweld cysylltiad ag un pwynt terfyn yn hytrach na ffrwd o ymholiadau testun plaen.

Yr hyn nad yw’n newid yw’r berthynas ymddiriedaeth, sy’n dal i bwyntio at ba bynnag sefydliad sy’n rhedeg y pwynt terfyn hwnnw. Gall porwr â’i osodiad DNS diogel ei hun osgoi datryswr y system weithredu’n llwyr. Triniwch y rheini fel dwy ffurfwedd a all anghytuno, yn hytrach nag un gosodiad a gymhwysir ddwywaith.

Mae enwau preifat angen eu penderfyniad eu hunain eto. Gall twnnel gwaith lwybreiddio parthau dethol at ddatryswyr sefydliadol, a gall disodli hynny â gwasanaeth cyhoeddus dorri chwiliadau mewnol neu ddatgelu enwau mewnol i’r parti anghywir. Gwiriwch y polisi parthau cyn i chi ddisodli gosodiadau addasydd cyfan.

Cadwch yr arsylwad yn gul

Pan fyddwch yn cymharu, cadwch yr hen ffurfwedd a newidiwch un gosodiad ar y tro. Cofnodwch y cymhwysiad, y weithred, polisi’r datryswr, ac a yw enwau cyhoeddus a phreifat a ganiateir yn dal i ddatrys ar ôl ailgysylltu. Nid yw cymhariaeth â dau newid ynddi’n profi’r naill na’r llall. Ysgrifennwch y canlyniad lle bydd y person nesaf yn ei ganfod, wrth ymyl y gosodiad ei hun.

resolvectl query intranet.corp.example
resolvectl domain
dig +short @1.1.1.1 example.com

Os bydd’r cymhwysiad yn dechrau gweithio, cadwch yr honiad mor fach ag y mae’r dystiolaeth yn ei ganiatáu. Helpodd y newid hwnnw un prawf, ac nid yw’n dweud dim am a fu’r datryswr blaenorol yn gweithredu mewn drwg ffydd, a oedd y twnnel wedi torri, neu a oes angen yr un disodliad ar ddyfais arall. Y canlyniad parhaol yw ffurfwedd y gallwch egluro ei gweithredwr a’i diben.