Ποιος διαχειρίζεται το 1.1.1.1; Έλεγχος μιας διεύθυνσης DNS πριν την εμπιστευτείτε

Επικολλήσατε το 1.1.1.1 στο πεδίο DNS του VPN, η σελίδα φόρτωσε και ο οδηγός τώρα φαίνεται επιβεβαιωμένος. Αυτή η παρατήρηση είναι στενότερη απ’ όσο φαίνεται: η εφαρμογή συμπεριφέρθηκε διαφορετικά και η αλλαγή δεν λέει ακόμη τίποτα για το ποιος απάντησε στο ερώτημα ή γιατί απέτυχε η παλιά ρύθμιση. Ένας αντιγραμμένος οδηγός συχνά αποκαλεί μια γνωστή δημόσια διεύθυνση «το DNS του VPN», κι αυτό είναι ισχυρισμός για την ιδιοκτησία, όχι για την προσβασιμότητα. Ο έλεγχος του τι αντιπροσωπεύει η διεύθυνση παίρνει πέντε λεπτά και αποτρέπει μια μόνιμη αλλαγή που έγινε για λάθος λόγο.

Μια ρύθμιση που λειτουργεί δεν είναι ταυτότητα

Η διεύθυνση σε ένα πεδίο ρυθμίσεων είναι ένα τελικό σημείο και ένα τελικό σημείο έχει διαχειριστή. Αυτά τα δύο γεγονότα είναι χωριστά και το δεύτερο είναι αυτό που προσπερνούν οι άνθρωποι. Για το ζεύγος που αντιγράφεται πιο συχνά, η απάντηση είναι δημόσια: η Cloudflare δημοσιεύει 1.1.1.1 και 1.0.0.1 ως διευθύνσεις του resolver της και τις απαριθμεί στην επίσημη αναφορά διευθύνσεών της. Γι’ αυτό το όνομα του διαχειριστή ανήκει δίπλα στη διεύθυνση και όχι σε ξεχωριστό οδηγό.

Η εισαγωγή αυτού του ζεύγους όσο ένα τούνελ είναι ενεργό δεν κάνει την εταιρεία του VPN διαχειριστή του και δεν κάνει την κίνηση ανώνυμη. Το ερώτημα φεύγει από το μηχάνημά σας προς μια εταιρεία που δημοσιεύει το εύρος διευθύνσεων, και αυτή η εταιρεία μπορεί να είναι αξιόπιστη και παρ’ όλα αυτά να μην είναι το μέρος που υπαινισσόταν ο οδηγός. Η ετικέτα στις οδηγίες και ο διαχειριστής στην πραγματικότητα είναι δύο διαφορετικοί ισχυρισμοί. Κανένας από τους δύο δεν λέει ποιος διαχειρίζεται την ενδιάμεση διαδρομή δικτύου.

Χρησιμοποιήστε τη δική του δημοσιευμένη αναφορά του resolver για να επιβεβαιώσετε ένα ζεύγος διευθύνσεων ή ένα κρυπτογραφημένο τελικό σημείο. Μια σύσταση από άλλον προμηθευτή μπορεί να είναι νόμιμη, και το «προτείνεται από», το «επιτυγχάνεται μέσω» και το «διαχειρίζεται από» εξακολουθούν να περιγράφουν τρεις διαφορετικές σχέσεις.

Συγκρίνετε τα τρία πράγματα που χρειάζεται μια εγγραφή

Μια εγγραφή έτοιμη για ανασκόπηση χωρίζει τρία ερωτήματα: ποιος πρέπει να λάβει το ερώτημα, αν η ανταλλαγή είναι απλή ή κρυπτογραφημένη και ποια διαδρομή πρέπει να το μεταφέρει. Το όνομα ενός παρόχου δεν μπορεί να συμπληρώσει το δεύτερο ή το τρίτο, και μια ετικέτα χώρας δεν μπορεί να συμπληρώσει κανένα από αυτά. Γράψτε τις τρεις καταχωρίσεις πριν από την αλλαγή και συγκρίνετέ τις μετά. Αυτές οι καταχωρίσεις δεν είναι εναλλάξιμες και η αντιμετώπισή τους ως μία είναι ο τρόπος με τον οποίο μια εικασία γίνεται τεκμηρίωση.

Η σύγκριση είναι αυτό που μετατρέπει μια ρύθμιση που λειτουργεί σε τεκμηριωμένη απόφαση. Χωρίς αυτήν, το επόμενο άτομο κληρονομεί μια διεύθυνση χωρίς κανέναν λόγο συνδεδεμένο. Διαβάστε πρώτα την τρίτη στήλη του πίνακα παρακάτω, γιατί εκεί σταματούν στην πραγματικότητα οι περισσότερες σίγουρες εξηγήσεις.

Ο πίνακας είναι σκόπιμα σύντομος. Το νόημά του είναι ότι κάθε καταχώριση απαντά σε διαφορετικό ερώτημα και κανένα μεμονωμένο πεδίο δεν συμπληρώνει και τα τρία.

Ένας τοπικός προωθητής κρύβει την πραγματική πηγή

Μια συσκευή που έχει ρυθμιστεί να χρησιμοποιεί τον δρομολογητή της ως DNS δείχνει σε έναν προωθητή. Αυτή η διεύθυνση προσδιορίζει τον επόμενο παραλήπτη του ερωτήματος, όχι τον resolver που απαντά τελικά. Ένας τοπικός stub resolver προσθέτει το ίδιο επιπλέον βήμα, και είναι εύκολο να μπερδευτεί με το πραγματικό πράγμα επειδή εμφανίζεται σε κάθε έξοδο κατάστασης.

Το stub προωθεί σε πηγές που τις απαριθμεί και η ίδια έξοδος, συνήθως πιο κάτω. Διαβάστε ολόκληρη την αλυσίδα πριν συμπεράνετε οτιδήποτε για τον διαχειριστή, γιατί η πρώτη γραμμή δεν είναι ολόκληρη η απάντηση. Διαφορετικά ονομάζετε τη ρεσεψιόν εταιρεία.

resolvectl status | grep -A4 'Current DNS Server'
dig +short CH TXT whoami.cloudflare @1.1.1.1
dig example.com | grep -E '^;; SERVER'

Η δεύτερη εντολή χρησιμοποιεί το όνομα ηχούς του resolver, όπου ο διαχειριστής δημοσιεύει ένα, για να αναφέρει τη διεύθυνση προέλευσης που βλέπει. Η τρίτη ονομάζει τον διακομιστή που απάντησε, που συχνά δεν είναι η διεύθυνση που ρυθμίσατε. Συγκρίνετε και τις τρεις εξόδους πριν σημειώσετε διαχειριστή.

Το κρυπτογραφημένο DNS αλλάζει τι είναι ορατό, όχι ποιος το βλέπει

Το DNS over HTTPS και το DNS over TLS προστατεύουν την ανταλλαγή μεταξύ πελάτη και resolver. Ο resolver εξακολουθεί να διαβάζει κάθε όνομα για το οποίο ρωτιέται, γιατί η απάντηση είναι η δουλειά του. Αυτό που αλλάζει είναι ποιος μπορεί να παρακολουθήσει την ανταλλαγή: το τοπικό δίκτυο βλέπει μια σύνδεση προς ένα τελικό σημείο αντί για ροή ερωτημάτων σε απλό κείμενο.

Αυτό που δεν αλλάζει είναι η σχέση εμπιστοσύνης, που εξακολουθεί να δείχνει στον οργανισμό που διαχειρίζεται αυτό το τελικό σημείο. Ένα πρόγραμμα περιήγησης με δική του ρύθμιση ασφαλούς DNS μπορεί να παρακάμψει εντελώς τον resolver του λειτουργικού συστήματος. Αντιμετωπίστε τα ως δύο διαμορφώσεις που μπορεί να διαφωνούν, και όχι ως μία ρύθμιση που εφαρμόστηκε δύο φορές.

Τα ιδιωτικά ονόματα χρειάζονται ξανά τη δική τους απόφαση. Ένα τούνελ εργασίας μπορεί να δρομολογεί επιλεγμένους τομείς σε οργανωτικούς resolvers, και η αντικατάστασή του με δημόσια υπηρεσία μπορεί να σπάσει εσωτερικές αναζητήσεις ή να αποκαλύψει εσωτερικά ονόματα στο λάθος μέρος. Ελέγξτε την πολιτική τομέων πριν αντικαταστήσετε τις ρυθμίσεις ενός ολόκληρου προσαρμογέα.

Κρατήστε την παρατήρηση στενή

Όταν συγκρίνετε, διατηρήστε την παλιά διαμόρφωση και αλλάξτε μία ρύθμιση κάθε φορά. Καταγράψτε την εφαρμογή, τη λειτουργία, την πολιτική του resolver και αν τα δημόσια και τα επιτρεπόμενα ιδιωτικά ονόματα εξακολουθούν να επιλύονται μετά από επανασύνδεση. Μια σύγκριση με δύο αλλαγές δεν αποδεικνύει καμία από τις δύο. Γράψτε το αποτέλεσμα εκεί όπου θα το βρει το επόμενο άτομο, δίπλα στην ίδια τη ρύθμιση.

resolvectl query intranet.corp.example
resolvectl domain
dig +short @1.1.1.1 example.com

Αν η εφαρμογή αρχίσει να λειτουργεί, κρατήστε τον ισχυρισμό τόσο μικρό όσο επιτρέπουν τα στοιχεία. Αυτή η αλλαγή βοήθησε ένα τεστ και δεν λέει τίποτα για το αν ο προηγούμενος resolver ενήργησε κακόπιστα, αν το τούνελ ήταν χαλασμένο ή αν μια άλλη συσκευή χρειάζεται την ίδια αντικατάσταση. Το διαρκές αποτέλεσμα είναι μια διαμόρφωση της οποίας τον διαχειριστή και τον σκοπό μπορείτε να εξηγήσετε.