Pam nad yw label gwlad DNS yn profi bod VPN yn gollwng

Mae cyfeiriadau datryswr sy’n edrych yn dramor yn ymddangos yn gyson mewn canlyniadau profion DNS, a’r casgliad y mae pobl yn dod iddo bob amser yr un peth: mae’n rhaid bod yr ymholiadau wedi dianc o’r tiwnel. Weithiau gwnaethant. Yn fwy aml mae’r adroddiad yn disgrifio pa wasanaeth ailadroddus a atebodd a lle mae cronfa ddata’n credu bod y cyfeiriad hwnnw’n eistedd, ac mae hynny’n ddatganiad am isadeiledd yn hytrach na’ch pecynnau. Mae gwahanu’r arsylwad oddi wrth y casgliad yn gofyn am dri ffaith: pwy atebodd, sut y teithiodd yr enw a pha bolisi y gwnaethoch ei ffurfweddu go iawn.

Darllenwch beth a arsylwodd y prawf mewn gwirionedd

Mae’r rhan fwyaf o dudalennau prawf yn gweithio yr un ffordd: maent yn gofyn i’r cleient ddatrys enw gwesteiwr unigryw ac yna’n chwilio pa ddatryswr a’i cyrchodd, neu maent yn syml yn adleisio cyfeiriad y datryswr y mae’r cleient yn ei adrodd. Mae hynny’n nodi gwasanaeth ailadroddus ac, os oedd yr ymholiad yn cario gwybodaeth isrwydwaith y cleient, leoliad rhwydwaith bras. Nid yw’n profi bod yr ymholiad wedi gadael y ddyfais y tu allan i’r tiwnel, ac yn sicr nid yw’n profi bod yr un llwybr wedi’i ddefnyddio ar gyfer pob enw. Mae un arsylwad o un chwiliad yn cael ei gyffredinoli’n honiad am yr holl draffig.

Mae prawf sy’n dangos cyfeiriad y datryswr yn fwy defnyddiol na bathodyn gwlad, oherwydd gellir cymharu cyfeiriad â’r rhestr ddatryswyr a gafodd y cleient mewn gwirionedd.

Mae anycast ac anfon ymlaen yn esbonio’r rhan fwyaf o syndodau

Mae datryswyr cyhoeddus mawr yn cyhoeddi’r un cyfeiriad o lawer o leoliadau, ac mae’r rhwydwaith yn llwybro pob ymholiad i’r safle sydd agosaf o ran llwybro. Yna mae cronfa ddata geoleoliad yn mapio’r cyfeiriad hwnnw i un lleoliad, a allai fod yn gyfeiriad cofrestru corfforaethol ar gyfandir arall neu’n ganolfan ddata nad yw’r un sy’n ateb. Mae RFC 4786 yn trafod arfer gweithredol ar gyfer gwasanaethau anycast ac anhawster cysylltu cyfeiriad o’r fath ag un man ffisegol. Mae’r map yn symleiddiad o benderfyniad llwybro, ac mae’n symleiddio i’r cyfeiriad sy’n cynhyrchu canlyniadau brawychus.

Mae anfon ymlaen yn ychwanegu ail haen. Gall datryswr stub lleol, llwybrydd neu ddatryswr ISP basio ymholiadau i wasanaeth uwch, ac mae’r enw sy’n ymddangos yn y prawf yn adlewyrchu’r gweithredwr olaf yn y gadwyn honno yn hytrach na’r cyntaf. Gall estyniadau isrwydwaith y cleient wneud ateb uwch yn addas i’ch rhwydwaith tra’n gwneud y lleoliad a adroddir yn edrych fel rhywle nad ydych erioed wedi bod.

Felly gall datryswr sydd wedi’i ffurfweddu fod yn gywir ac eto gynhyrchu canlyniad sy’n edrych yn dramor, a gall datryswr yn eich gwlad eich hun fod yn anghywir oherwydd ei fod yn perthyn i barti na wnaethoch ei ddewis.

Pwy a gafodd yr enw, a thrwy ba lwybr

Mae dau gwestiwn yn ateb y rhan ymarferol: pa weinydd y mae’r cleient yn ei ddefnyddio, ac a yw’r gweinydd hwnnw’n cael ei gyrraedd drwy’r tiwnel. Cymharwch y rhestr ddatryswyr â’r cyfeiriad yng nghanlyniad y prawf cyn tynnu casgliadau am lwybro, yna gwiriwch fod yr ymholiad i’r cyfeiriad hwnnw’n gadael drwy ryngwyneb y tiwnel. Os yw’r ddau gyfeiriad yn wahanol, y darganfyddiad diddorol yw bod rhywbeth wedi ailysgrifennu neu osgoi’r datryswr bwriadedig, sy’n haeddu golwg agosach na’r enw gwlad.

resolvectl query example.com
resolvectl status | grep -A3 'DNS Servers'
dig +short TXT whoami.akamai.net

Mae’r gorchymyn cyntaf yn dangos pa weinydd a atebodd am enw, mae’r ail yn dangos y rhestr sydd wedi’i ffurfweddu a’i chwmpas, ac mae’r trydydd yn adrodd cyfeiriad y datryswr fel y mae gwasanaeth cyhoeddus yn ei weld. Pan fydd y tri yn cytuno, mae’r polisi’n gwneud yr hyn y cafodd ei ffurfweddu i’w wneud, beth bynnag a ddywed y label gwlad.

Cymharwch â’r polisi a ddewisoch

Gall VPN sy’n gwthio datryswr, porwr wedi’i ffurfweddu i ddefnyddio ei DNS wedi’i amgryptio ei hun, a system weithredu sy’n ffafrio gosodiadau un rhyngwyneb fod yn gywir ar wahân tra’n gwrthdaro gyda’i gilydd. Gall porwyr modern anfon ymholiadau dros drafnidiaeth amgryptiedig at ddarparwr a ddewiswyd yn y porwr, sy’n osgoi rhestr ddatryswyr y system yn fwriadol. Nid yw hyn yn ollwng yn yr ystyr tiwnel wedi torri; mae’n bolisi a ddewiswyd yn rhywle arall, a dod o hyd i ble y cafodd ei ddewis yw’r gwaith go iawn.

Mae dyfeisiau gwaith yn ychwanegu rheolau penodol i barthau: rhaid i enwau mewnol fynd i ddatryswr y sefydliad tra bod popeth arall yn dilyn y rhagosodiad. Ailosod y drefn honno oherwydd bod tudalen prawf wedi dangos gwlad annisgwyl yw’r ffordd y mae enwau mewnol yn stopio datrys i dîm cyfan.

Cadwch brofion yn gul ac yn ddiogel

Mae ymholi gwasanaeth prawf cyhoeddus am enw gwesteiwr mewnol yn datgelu’r enw i barti nad oes ganddo fusnes ei weld, ac nid yw’r ateb yn dweud unrhyw beth wrthych na fyddai darllen y rhestr ddatryswyr yn lleol yn ei ddweud.

Defnyddiwch enwau sy’n datgelu isadeiledd yn lle hynny, cofnodwch gyfeiriad y datryswr, y cwmpas a’r rhyngwyneb a ddefnyddiwyd, a chymharwch y cofnod hwnnw â’r bwriad a ddogfennwyd. Mae label map yn gyd-destun ar gyfer sgwrs yn hytrach na chanlyniad pasio neu fethu, ac mae trin hynny fel dedfryd yn creu newid ffurfwedd yn lle diagnosis.