Έλεγχος διαρροής DNS: Το όνομα του resolver δεν είναι η διαδρομή

Τρεις ρυθμίσεις θεωρούνται σωστό DNS για χρήστη VPN: ερωτήματα στον resolver του παρόχου, ερωτήματα σε κρυπτογραφημένο resolver που επιλέξατε εσείς, και split DNS που στέλνει τα ονόματα εργασίας στον οργανισμό. Ένας έλεγχος διαρροής αναφέρει έναν resolver, και αυτή η μία ετικέτα δεν μπορεί να σας πει ποια ρύθμιση έχετε στην πραγματικότητα. Καθορίστε πρώτα την επιδιωκόμενη πολιτική και μετά ελέγξτε με βάση αυτήν. Διαφορετικά συγκρίνετε έναν αριθμό με ένα συναίσθημα.

Καθορίστε τι θέλατε πριν διαβάσετε το αποτέλεσμα

Ονομάστε την πολιτική σε μία πρόταση: όλα τα ονόματα στον resolver του VPN, όλα τα ονόματα σε επιλεγμένο κρυπτογραφημένο resolver, ή split DNS όπου τα εσωτερικά ονόματα πηγαίνουν στον οργανισμό. Κάθε μία είναι υπερασπίσιμη για διαφορετικό χρήστη και κάθε μία παράγει διαφορετική αναμενόμενη απάντηση. Χωρίς αυτή την πρόταση, κάθε αποτέλεσμα που διαφέρει από ένα στιγμιότυπο σε ανάρτηση φόρουμ φαίνεται ανησυχητικό. Γράψτε την πολιτική πριν από την πρώτη δοκιμή.

Μια δοκιμή που γίνεται πριν καθοριστεί η πολιτική δεν μετρά τίποτα. Παράγει ένα όνομα resolver χωρίς κανένα σημείο αναφοράς.

Ένα όνομα resolver δεν αποδεικνύει ούτε τη διαδρομή ούτε τον παραλήπτη

Δύο ερωτήματα μετρούν: ποιος έλαβε το ερώτημα και ποια διαδρομή το μετέφερε. Ένας resolver τρίτου μπορεί να είναι προσβάσιμος μέσα από τη σήραγγα ενώ μια οθόνη ρυθμίσεων δείχνει τη διεύθυνση του παρόχου. Η ετικέτα σε μια σελίδα ελέγχου διαρροής περιγράφει την οπτική του παρατηρητή, όχι τον πίνακα δρομολόγησής σας.

Ένα πρόγραμμα περιήγησης μπορεί να χρησιμοποιεί το δικό του κρυπτογραφημένο DNS ενώ η κίνηση του ιστότοπου περνά από τη σήραγγα, και οι αποθηκευμένες απαντήσεις μπορούν να επιτρέψουν τη φόρτωση σελίδας χωρίς νέα αναζήτηση. Γι' αυτό ένα αποτέλεσμα δημόσιας IP δεν λέει τίποτα για το DNS. Τα DoH και DoT προστατεύουν το ερώτημα στη διαδρομή προς τον resolver, και αυτός ο resolver εξακολουθεί να βλέπει τα ονόματα.

resolvectl status
resolvectl query example.com
dig +short example.com

Το split DNS κάνει πολλούς resolvers σωστούς

Ένας οργανισμός μπορεί να στέλνει τα εσωτερικά ονόματα στο δικό του DNS και όλα τα υπόλοιπα αλλού. Μια δοκιμή που απαριθμεί πολλούς resolvers μπορεί επομένως να περιγράφει την επιδιωκόμενη πολιτική και όχι βλάβη. Συγκρίνετε το σύνολο που παρατηρήθηκε με τους τεκμηριωμένους κανόνες split DNS πριν απενεργοποιήσετε οτιδήποτε. Το να σβήσετε τον εσωτερικό resolver για να φαίνεται καθαρότερη μια σελίδα δοκιμής σπάει ιδιωτικά ονόματα.

Το split tunneling και το split DNS είναι διαφορετικές επιλογές: το ένα δρομολογεί πακέτα, το άλλο δρομολογεί ερωτήματα. Η αλλαγή διαδρομής σήραγγας δεν μετακινεί μια αναζήτηση ονόματος και η αλλαγή resolver δεν διορθώνει τη διαδρομή ενός ιστότοπου. Το IPv6 είναι τρίτο ζήτημα, αφού μια ακούσια σύνδεση IPv6 δεν είναι αυτόματα διαρροή DNS.

Μετατρέψτε το αποτέλεσμα σε έρευνα

Καταγράψτε την επιδιωκόμενη πολιτική και τη ρύθμιση ασφαλούς DNS του προγράμματος περιήγησης πριν από τη δοκιμή. Εκτελέστε τη δοκιμή με ενεργή τη σήραγγα, σημειώστε κάθε resolver που αναφέρει και συγκρίνετε το σύνολο με την πολιτική και όχι με μία αναμενόμενη διεύθυνση.

Επαναλάβετε μετά από επανασύνδεση αν το σύμπτωμα εμφανίζεται τότε, γιατί μια πολιτική που εφαρμόστηκε κατά τη σύνδεση μπορεί να χαθεί αργότερα. Χρησιμοποιήστε την τεκμηρίωση του πελάτη για εσωτερικές εξαιρέσεις DNS αντί να μαντεύετε τις ρυθμίσεις.

Διορθώστε την αναντιστοιχία που βρήκατε: μια επιλογή προγράμματος περιήγησης, μια ρύθμιση DNS του VPN ή έναν κανόνα split DNS. Αν τα ερωτήματα πρέπει να σταματούν όταν αποτυγχάνει η σήραγγα, το kill switch είναι ξεχωριστή ρύθμιση και η διαμόρφωση DNS μόνη της δεν θα το παρέχει. Η προδιαγραφή RFC 8484 είναι χρήσιμη όταν πρέπει να εξηγήσετε τι κρύβει και τι δεν κρύβει ένας κρυπτογραφημένος resolver.