Το εφεδρικό DNS του VPN σας: πού πηγαίνει πραγματικά το ερώτημα

Μια ρύθμιση resolver αλλάζει από την ιδιωτική διεύθυνση σε μια δημόσια, και το συμπέρασμα έρχεται αμέσως: η σήραγγα διαρρέει. Μερικές φορές ισχύει. Συχνά το εφεδρικό ερώτημα ταξίδεψε ακόμη μέσα στη σήραγγα προς έναν resolver που επέλεξε ο διαχειριστής, κάτι που το καθιστά απόφαση πολιτικής και όχι σφάλμα. Ο διαχωρισμός αυτών των περιπτώσεων απαιτεί τρία γεγονότα αντί για ένα, και το πρώτο είναι ποιος απάντησε. Βρείτε ποιος έλαβε το ερώτημα, ποια διαδρομή το μετέφερε και για ποια ονόματα ρωτήθηκε.

Το εφεδρικό είναι πολιτική, όχι μία συμπεριφορά

Κάθε πελάτης πρέπει να αποφασίσει τι κάνει όταν ο προτιμώμενος resolver σταματήσει να απαντά. Μπορεί να μπλοκάρει την επίλυση, να δοκιμάσει ξανά, να χρησιμοποιήσει μια διαμορφωμένη εναλλακτική ή να το αφήσει στο λειτουργικό σύστημα, και από την άποψη της ιδιωτικότητας αυτά είναι τέσσερα διαφορετικά προϊόντα. Η ανάγνωση της οθόνης ρυθμίσεων σας λέει ποια συμπεριφορά έχει διαμορφωθεί· δεν σας λέει ποια συνέβη. Μια οθόνη με έναν μόνο διακόπτη δεν περιγράφει τέσσερις δυνατότητες.

Τα προγράμματα περιήγησης προσθέτουν το δικό τους επίπεδο. Ένα πρόγραμμα περιήγησης με ενεργό ασφαλές DNS μπορεί να επιλύσει ένα όνομα μέσω του δικού του παρόχου ακόμη και όταν το λειτουργικό σύστημα δείχνει αλλού, που σημαίνει ότι η πολιτική του πελάτη της σήραγγας μπορεί να μην ερωτηθεί ποτέ για τα αιτήματα που πραγματικά σας ενδιαφέρουν. Ελέγξτε την εφαρμογή που έκανε το αίτημα, όχι μόνο τη ρύθμιση του συστήματος.

Η ταυτότητα του εφεδρικού resolver είναι το πρώτο γεγονός που αξίζει να διαπιστωθεί. Ένας δημόσιος resolver που ανήκει σε πάροχο που ήδη εμπιστεύεστε είναι διαφορετική κατάσταση από μια διεύθυνση που παρέχει το δίκτυο στο οποίο βρίσκεστε. Η ίδια η διεύθυνση σπάνια λέει σε ποια από τις δύο κοιτάτε.

Ποιος λαμβάνει το ερώτημα μετά την αλλαγή

Ο παραλήπτης και η διαδρομή είναι ανεξάρτητοι, και μόνο ο συνδυασμός τους περιγράφει την έκθεση. Ένας δημόσιος resolver που φτάνει μέσω της σήραγγας δεν βλέπει ποτέ τη διεύθυνση του δικτύου πρόσβασής σας, ενώ ο ίδιος resolver που φτάνει απευθείας τη βλέπει. Και οι δύο περιπτώσεις παράγουν απάντηση, και ένα τεστ διαρροής που αναφέρει μόνο τη διεύθυνση του resolver θα τις περιγράψει με τον ίδιο τρόπο. Ζητήστε τη διεπαφή καθώς και τη διεύθυνση όταν διαβάζετε το αποτέλεσμα.

Τα εσωτερικά ονόματα κάνουν τη διάκριση συγκεκριμένη. Ένας δημόσιος resolver συνήθως δεν μπορεί να απαντήσει σε όνομα split-horizon, επομένως το ερώτημα αποτυγχάνει ενώ το όνομα έχει ήδη αποκαλυφθεί σε μέρος που δεν είχε καμία δουλειά να το δει. Διαθεσιμότητα και ιδιωτικότητα λοιπόν συμβαδίζουν εδώ αντί να ανταλλάσσονται.

Η σήραγγα μπορεί επίσης να μεταφέρει το ερώτημα σε έναν resolver που δεν λειτουργεί ο πάροχος VPN, επειδή η σήραγγα προωθεί αντί να επιλύει. Ο κεντρικός υπολογιστής που προωθεί βλέπει το ερώτημα σε απλό κείμενο και μετά ανοίγει τη δική του σύνδεση παραπέρα, κάτι που προστατεύει το επόμενο άλμα χωρίς να προστατεύει το πρώτο.

Ελέγξτε τη διαδρομή και τον παραλήπτη μαζί

Παρατηρήστε τα πακέτα αντί για τη διαμόρφωση. Ρωτήστε το σύστημα ποιος resolver θα χρησιμοποιηθεί και μετά επιβεβαιώστε ότι το ερώτημα έφυγε πραγματικά από την αναμενόμενη διεπαφή προς την αναμενόμενη διεύθυνση.

resolvectl status | grep -E "Current DNS Server|DNS Servers|DNSOverTLS"
dig +short example.com
tcpdump -ni any udp port 53 or tcp port 853

Αν η καταγραφή δείχνει το ερώτημα να φεύγει από τη φυσική διεπαφή ενώ η σήραγγα είναι ενεργή, το εφεδρικό παράκαμψε τη σήραγγα ανεξάρτητα από το τι λέει η λίστα resolver. Αν εμφανίζεται στη διεπαφή της σήραγγας, το ερώτημα γίνεται ποιος λειτουργεί το απομακρυσμένο άκρο και τι διατηρεί.

Επαναλάβετε τον έλεγχο για ένα εσωτερικό και ένα δημόσιο όνομα. Το εσωτερικό ερώτημα είναι εκεί όπου μια εφεδρική διαμόρφωση συνήθως αποκαλύπτεται, επειδή ένας resolver που δεν μπορεί να απαντήσει λαμβάνει ούτως ή άλλως την ερώτηση.

Αποφασίστε αν το εφεδρικό πρέπει να επιτρέπεται

Αν η απαίτηση είναι η επίλυση να σταματά όταν ο προτιμώμενος resolver δεν είναι διαθέσιμος, διαμορφώστε μια πολιτική επιβολής που αποτυγχάνει κλειστά και δεχτείτε τη συνέπεια: τα ονόματα δεν θα επιλύονται κατά τη διάρκεια μιας διακοπής. Είναι μια σκόπιμη ανταλλαγή διαθεσιμότητας και όχι δυσλειτουργία, και ο σχεδιασμός θα πρέπει να το λέει πριν συμβεί η διακοπή.

Αν η απαίτηση είναι μόνο τα ερωτήματα να μην ταξιδεύουν έξω από τη σήραγγα, ένας δημόσιος resolver που φτάνει μέσω της σήραγγας μπορεί να είναι αποδεκτός υπό την προϋπόθεση ότι ο φορέας εκμετάλλευσης και η πολιτική διατήρησής του γίνονται κατανοητά. Μια τέτοια αποδοχή είναι κρίση για τρίτο μέρος και όχι δήλωση για την κρυπτογραφία, και ανήκει σε όποιον φέρει τον ισχυρισμό περί ιδιωτικότητας. Αν τα εσωτερικά ονόματα πρέπει να συνεχίσουν να λειτουργούν, το εφεδρικό πρέπει να είναι ένας resolver που κρατά τις εσωτερικές ζώνες, που συνήθως σημαίνει ότι ο στόχος του εφεδρικού είναι άλλος διακομιστής και όχι άλλη οικογένεια διευθύνσεων.

Τεκμηριώστε το αποτέλεσμα ως μια πρόταση για τη συμπεριφορά: ποιος resolver λαμβάνει τα ερωτήματα σε κανονική λειτουργία, ποιος τα λαμβάνει μετά από αποτυχία και αν τα εσωτερικά ονόματα επιλύονται στη δεύτερη περίπτωση. Ένα τεστ διαρροής που τελικά φορτώνει μια σελίδα αποδεικνύει λιγότερα από αυτή την πρόταση, επειδή μια σελίδα μπορεί να φορτωθεί μέσω ενός resolver που δεν θα έπρεπε ποτέ να έχει ερωτηθεί.