Pam mae hotspot yn ailgyfeirio DNS cyn i'r VPN gysylltu?
Mae hotspot yn ailysgrifennu ymholiadau ar ei rwydwaith ei hun, ac mae pen terfynol enw gwesteiwr yn cael ei ddatrys cyn bod unrhyw dwnnel. Olrheiniwch pa ddatrysiwr a atebodd bob ymholiad.
Mae ymuno â rhwydwaith gwesty yn rhoi dau benderfyniad DNS o'ch blaen ar wahanol adegau: yr ymholiadau y mae'r ddyfais yn eu gwneud wrth fewngofnodi, a'r ymholiadau a wneir ar ôl i'r twnnel fod yn barod. Gall hotspot ddylanwadu ar y cyntaf drwy'r rhwydwaith y mae'n ei reoli. Mae'r ail yn dibynnu ar bolisi'r cleient ei hun, sy'n beth ar wahân i'w archwilio.
Cerddwch drwy'r cysylltiad mewn trefn, o'r les DHCP gyntaf i'r ymholiad a ddatrysodd enw preifat. Yna mae dau fethiant sy'n edrych yn unfath mewn tocyn cymorth yn gwahanu'n lân: digwyddodd un cyn bod y twnnel, a digwyddodd y llall y tu mewn iddo.
Beth all hotspot ei gyffwrdd a beth na all
Mae'r rhwydwaith mynediad yn dosbarthu cyfeiriad datrysiwr mewn DHCP a gall ryng-gipio porth 53 tuag at y cyfeiriad hwnnw. Mae hynny'n ddigon i ateb pob ymholiad heb ei amddiffyn â chyfeiriad porthor neu dudalen rwystro. Mae hefyd yn ddigon i dorri cleient VPN y mae ei ben terfynol wedi'i ysgrifennu fel enw gwesteiwr.
Yr hyn na all y hotspot ei wneud yw darllen neu ailysgrifennu ymholiad ar ôl iddo deithio y tu mewn i dwnnel sefydledig, gan dybio bod y twnnel yn ei gario go iawn. Mae rhyng-gipio yn dibynnu ar weld y cwestiwn mewn testun plaen.
Mae ymholiadau yn gadael y twnnel beth bynnag am resymau nad ydynt yn gysylltiedig â'r hotspot: gosodiad DNS diogel y porwr, rheol split-DNS sy'n cadw ôl-ddodiad corfforaethol ar y datrysiwr lleol, neu gleient wedi'i ffurfweddu i eithrio DNS o'r twnnel. Dewis ar ochr y cleient yw pob un, ac mae pob un yn edrych fel ymyrraeth hotspot o'r tu allan.
| Path | Who answers | What a failure looks like |
|---|---|---|
| Lookup before the tunnel is up | The network's resolver | The client never reaches its endpoint |
| Lookup inside the tunnel | The resolver pushed by the client | Local policy or tunnel DNS is misconfigured |
| Browser secure DNS | A DoH provider over port 443 | Both the hotspot and the tunnel policy are bypassed |
Mae'r ymholiad cychwynnol yn digwydd cyn bod y twnnel
Rhaid i gleient sy'n cael enw gwesteiwr ei ddatrys yn gyntaf, ac ar yr eiliad honno nid oes twnnel yn amddiffyn yr ymholiad. Os bydd y hotspot yn ateb â chyfeiriad porthor, mae'r trafodaethau'n methu neu'n hongian. Os bydd yn ateb â dim, mae'r cleient yn adrodd gwall enw ac nid yw'r twnnel byth yn cychwyn. Mae'r naill ganlyniad a'r llall yn esbonio cofnod twnnel gwag sy'n edrych yn ddiniwed fel arall.
Mae systemau gweithredu hefyd yn rhedeg eu gwiriadau cysylltedd a'u darganfyddiad porthor eu hunain, a ddisgrifir yn RFC 8910 a RFC 8952, ac mae'r ceisiadau hynny'n gadael cyn bod unrhyw VPN yn barod. Mae eu gweld mewn cofnod dirprwy yn ymddygiad disgwyliedig yn hytrach na phrawf o ollyngiad.
Yr ateb ymarferol yw rhoi pen terfynol i'r cleient nad oes angen ymholiad arno. Pan fo hynny'n amhosibl, gorffennwch fewngofnodi yn gyntaf a chysylltwch wedyn.
Darganfyddwch pa ddatrysiwr a atebodd
Gofynnwch i'r system yn hytrach na'r porwr, a rhedwch yr ymholiad ddwywaith: unwaith drwy ba bynnag ddatrysiwr y mae'r ddyfais yn ei ddefnyddio nawr, unwaith yn erbyn cyfeiriad sefydlog.
resolvectl query vpn.example.com dig +short vpn.example.com dig +short vpn.example.com @1.1.1.1
Mae ateb o'r gorchymyn cyntaf sy'n wahanol i'r trydydd yn dweud wrthych fod y datrysiwr lleol yn dychwelyd rhywbeth arall, sef yr hyn y mae hotspot sy'n ailgyfeirio yn ei wneud. Mae methiant o'r trydydd ochr yn ochr â llwyddiant o'r cyntaf yn pwyntio at y porthor: gwasanaethodd y datrysiwr lleol gyfeiriad mewngofnodi tra bod porth 53 allan wedi'i ollwng. Mae terfyn amser ar y ddau yn golygu bod y rhwydwaith yn taflu DNS nes bod dilysu wedi'i gwblhau.
Ailadroddwch ar ôl cysylltu a chymharwch. Mae ateb wedi'i storio yn goroesi'r newid, felly fflwsiwch y storfa neu holi enw newydd ar gyfer yr ail arsylwiad.
Cadwch ymholiadau diweddarach ar y llwybr a fwriadwyd gennych
Proffil twnnel llawn sy'n dal DNS hefyd yw'r drefn symlaf: mae pob ymholiad o bob rhaglen yn mynd i'r datrysiwr y mae'r twnnel yn ei wthio, ac nid yw'r rhwydwaith lleol yn gweld ond traffig wedi'i amgryptio. Profwch hyn drwy ddatrys enw mewnol ac un cyhoeddus ar ôl cysylltu, ac yna cymharu'r ddau ateb â'r hyn y mae datrysiwr y twnnel yn ei ddychwelyd ar ei ben ei hun.
Mae split-DNS angen rhestr parthau wedi'i hysgrifennu â bwriad: ôl-ddodiaid corfforaethol drwy'r twnnel, popeth arall yn lleol, a dim gorgyffwrdd rhwng y ddau.
Mae DNS diogel y porwr y tu allan i'r polisi hwnnw, felly os oes rhaid iddo fod i ffwrdd er mwyn i'r proffil ymddwyn yn rhagweladwy, analluogwch ef ar gyfer y proffil hwnnw yn hytrach nag ar gyfer y peiriant. Gwnewch hynny yng ngosodiadau'r porwr, nid drwy olygu datrysiwr y system, fel bod y newid yn weladwy y tro nesaf. Cofnodwch yr ateb, y datrysiwr a cham y cysylltiad mewn un llinell y prawf. Mae adroddiad sy'n dweud bod DNS wedi methu ar Wi-Fi gwesty yn disgrifio symptom ag o leiaf tri achos gwahanol.