Πού πηγαίνει το DNS όταν συνδυάζετε Tor και VPN

Τρέχουν δύο εργαλεία ιδιωτικότητας, μία σελίδα δεν φορτώνει και ένα τεστ resolver λέει ότι κάτι έξω από το πρόγραμμα περιήγησης έλαβε ένα όνομα. Πριν αυτό γίνει αναφορά διαρροής, ονομάστε την ανταλλαγή από την οποία προήλθε. Μια ρύθμιση Tor και VPN περιέχει τουλάχιστον τρεις διαφορετικές αναζητήσεις ονομάτων με τρεις διαφορετικούς ιδιοκτήτες, και το να τις διατρέξετε με τη σειρά που συμβαίνουν είναι ο γρηγορότερος τρόπος να δείτε ποια συμπεριφέρεται λάθος.

Ονομάστε κάθε ανταλλαγή πριν το πείτε διαρροή

Η πρώτη ανταλλαγή επιλύει το ίδιο το τελικό σημείο VPN και συμβαίνει πριν υπάρξει οποιαδήποτε προστασία. Η δεύτερη επιλύει έναν προορισμό για το Tor Browser, το οποίο μπορεί να παραδώσει το όνομα στον διαμεσολαβητή αντί να το επιλύσει τοπικά. Η τρίτη καλύπτει όλα τα άλλα στο μηχάνημα, συμπεριλαμβανομένων των ελέγχων ενημερώσεων, των πελατών αλληλογραφίας και των ίδιων των αναζητήσεων υπηρεσιών του λειτουργικού συστήματος. Μόνο η πρώτη μπορεί να συμβεί χωρίς να εμπλέκονται οι άλλες δύο.

Καθεμία μπορεί να ακολουθήσει διαφορετική διαδρομή, και ένα μόνο τεστ στο πρόγραμμα περιήγησης παρατηρεί μόνο το δικό του αίτημα. Το να θεωρείτε ένα αποτέλεσμα ως την κατάσταση και των τριών είναι εκεί όπου ξεκινά η περισσότερη σύγχυση.

Σημειώστε ποια ονόματα ανήκουν σε ποιο επίπεδο πριν αλλάξετε οτιδήποτε. Τα ιδιωτικά οργανωτικά ονόματα, ένας δημόσιος προορισμός και το ίδιο το τελικό σημείο της σήραγγας δεν φέρουν την ίδια απαίτηση, και μια πολιτική που τα αντιμετωπίζει ως μία κατηγορία θα σπάσει κάτι.

Η αναζήτηση εκκίνησης συμβαίνει πριν από τη σήραγγα

Ένας πελάτης ρυθμισμένος με όνομα κεντρικού υπολογιστή πρέπει να επιλύσει αυτό το όνομα για να ανοίξει τη σήραγγα, και εκείνη τη στιγμή δεν υπάρχει σήραγγα για να μεταφέρει το ερώτημα. Απαντά όποιος resolver προσφέρει το λειτουργικό σύστημα στο τρέχον δίκτυο, ο οποίος μπορεί να είναι captive portal, resolver ξενοδοχείου ή δημόσιος. Αυτό δεν είναι διαρροή στη σήραγγα, γιατί δεν υπάρχει ακόμη σήραγγα.

Η αλλαγή της ρύθμισης ασφαλούς DNS του προγράμματος περιήγησης δεν αγγίζει ούτε αυτή την αναζήτηση, αφού ανήκει σε υπηρεσία που τρέχει έξω από το πρόγραμμα περιήγησης και ξεκινά πριν ανοίξει οποιαδήποτε σελίδα. Αν το όνομα του τελικού σημείου δεν επιλυθεί, καμία πολιτική μέσα στη σήραγγα δεν θα βοηθήσει, γιατί η αποτυχία συμβαίνει ένα στάδιο νωρίτερα από όλα όσα περιγράφει η ρύθμιση.

Αυτό είναι το μοναδικό σημείο όπου η χρήση κυριολεκτικής διεύθυνσης για το τελικό σημείο, αν ο πάροχος το υποστηρίζει, αφαιρεί μια εξάρτηση αντί να προσθέτει μία. Αφαιρεί επίσης τη δυνατότητα να ακολουθείτε πάροχο που εναλλάσσει διευθύνσεις, άρα το αντιστάθμισμα είναι πραγματικό και πρέπει να αποφασιστεί παρά να ανακαλυφθεί.

Το πρόγραμμα περιήγησης και το υπόλοιπο μηχάνημα διαφέρουν

Η διεπαφή SOCKS του Tor υποστηρίζει τη μεταβίβαση ονόματος κεντρικού υπολογιστή προορισμού στον διαμεσολαβητή, που σημαίνει ότι το απομακρυσμένο άκρο εκτελεί την επίλυση και το τοπικό μηχάνημα δεν ρωτά ποτέ. Μια γενική εφαρμογή που υποστηρίζει διαμεσολαβητή μπορεί πρώτα να επιλύσει το όνομα τοπικά και μετά να συνδεθεί στη διεύθυνση που πήρε, κάτι που παράγει τοπικό ερώτημα για προορισμό που ο χρήστης πίστευε ότι περνά από τον διαμεσολαβητή. Οι δύο εφαρμογές μπορούν επομένως να διαρρέουν σε διαφορετικά σημεία ενώ μοιράζονται μία ρύθμιση διαμεσολαβητή. Τίποτα σε μια κοινή διεύθυνση διαμεσολαβητή δεν σας λέει ποια από τις δύο συμπεριφορές χρησιμοποιείται.

Τα προγράμματα περιήγησης προσθέτουν άλλο ένα επίπεδο όταν είναι ενεργό το ασφαλές DNS, γιατί το πρόγραμμα μπορεί να επιλέξει τον δικό του πάροχο και να παρακάμψει εντελώς τον resolver του συστήματος. Ο πελάτης σήραγγας, στο μεταξύ, μπορεί να προωθήσει έναν resolver μέσα από τη σήραγγα για όλο το μηχάνημα. Και οι δύο ρυθμίσεις μπορεί να είναι σωστές και παρ’ όλα αυτά να περιγράφουν διαφορετική συμπεριφορά για διαφορετικά προγράμματα.

Ελέγξτε το πρόγραμμα που έκανε το αίτημα αντί να συμπεράνετε από μία σελίδα δοκιμής. Η διάκριση ανάμεσα σε ένα ερώτημα που μεταφέρεται μέσα στη σήραγγα και σε ένα που δεν έφτασε ποτέ στο Tor είναι ακριβώς η διάκριση που δεν μπορεί να δείξει μία μόνο διεύθυνση resolver.

Ελέγξτε κάθε πρόγραμμα και μετά συγκρίνετε με την πρόθεση

Κάντε τις παρατηρήσεις χωριστά: τι θα χρησιμοποιούσε το σύστημα, για τι είναι ρυθμισμένο το πρόγραμμα περιήγησης και αν η σύνδεση SOCKS μεταφέρει όνομα ή διεύθυνση. Το τελευταίο είναι η διαφορά μεταξύ απομακρυσμένης και τοπικής επίλυσης, και προδιαγραφή επεκτάσεων SOCKS περιγράφει πώς ένα όνομα κεντρικού υπολογιστή μεταβιβάζεται αντί να επιλύεται πρώτα.

resolvectl status | grep -E "Current DNS Server|DNS Servers"
ss -tnp '( dport = :9050 )'
dig +short dev.internal.example
getent hosts vpn-endpoint.example.net

Στη συνέχεια συγκρίνετε αυτό που παρατηρήσατε με αυτό που σκοπεύατε. Ένα δημόσιο όνομα που επιλύεται μέσα από τη σήραγγα από resolver που επιλέξατε δεν είναι το ίδιο εύρημα με ένα ιδιωτικό όνομα που παραδίδεται σε δημόσιο resolver κατά τη διάρκεια μιας υποχώρησης, και συνήθως μόνο το δεύτερο απαιτεί ενέργεια. Το πρώτο είναι μια ρύθμιση που λειτουργεί όπως σχεδιάστηκε, ακόμη και αν φαίνεται ασυνήθιστη σε μια αναφορά.

Καταγράψτε τις εξαιρέσεις που αποδέχεστε, συμπεριλαμβανομένης της αναζήτησης εκκίνησης που δεν μπορεί να προστατευτεί. Μια γραμμένη εξαίρεση είναι απόφαση σχεδιασμού, ενώ η ίδια εξαίρεση που ανακαλύπτεται αργότερα μοιάζει με ελάττωμα. Όποιος τη βρει θα την αντιμετωπίσει ως τέτοιο, και θα περάσετε τη σύσκεψη εξηγώντας γιατί δεν είναι.