Γιατί μια ετικέτα χώρας στο DNS δεν αποδεικνύει διαρροή VPN

Οι διευθύνσεις resolver που μοιάζουν ξένες εμφανίζονται διαρκώς στα αποτελέσματα δοκιμών DNS, και το συμπέρασμα στο οποίο καταλήγουν οι άνθρωποι είναι πάντα το ίδιο: τα ερωτήματα πρέπει να διέφυγαν από τη σήραγγα. Μερικές φορές όντως διέφυγαν. Πιο συχνά η αναφορά περιγράφει ποια αναδρομική υπηρεσία απάντησε και πού νομίζει μια βάση δεδομένων ότι βρίσκεται αυτή η διεύθυνση, κι αυτό είναι δήλωση για την υποδομή και όχι για τα πακέτα σας. Ο διαχωρισμός της παρατήρησης από το συμπέρασμα απαιτεί τρία γεγονότα: ποιος απάντησε, πώς ταξίδεψε το όνομα και τι πολιτική ρυθμίσατε πραγματικά.

Διαβάστε τι παρατήρησε στην πραγματικότητα το τεστ

Οι περισσότερες σελίδες δοκιμών λειτουργούν με τον ίδιο τρόπο: ζητούν από τον πελάτη να επιλύσει ένα μοναδικό όνομα κεντρικού υπολογιστή και μετά κοιτούν ποιος resolver το ανέκτησε, ή απλώς επιστρέφουν τη διεύθυνση resolver που αναφέρει ο πελάτης. Αυτό προσδιορίζει μια αναδρομική υπηρεσία και, αν το ερώτημα έφερε πληροφορία υποδικτύου πελάτη, μια χονδρική θέση δικτύου. Δεν αποδεικνύει ότι το ερώτημα έφυγε από τη συσκευή εκτός της σήραγγας, και σίγουρα δεν αποδεικνύει ότι η ίδια διαδρομή χρησιμοποιήθηκε για κάθε όνομα. Μία μόνο παρατήρηση μιας αναζήτησης γενικεύεται σε ισχυρισμό για όλη την κίνηση.

Ένα τεστ που δείχνει τη διεύθυνση του resolver είναι πιο χρήσιμο από ένα σήμα χώρας, γιατί η διεύθυνση μπορεί να συγκριθεί με τη λίστα resolver που έλαβε πραγματικά ο πελάτης.

Το anycast και η προώθηση εξηγούν τις περισσότερες εκπλήξεις

Οι μεγάλοι δημόσιοι resolver ανακοινώνουν την ίδια διεύθυνση από πολλές τοποθεσίες και το δίκτυο δρομολογεί κάθε ερώτημα στην τοποθεσία που είναι πλησιέστερη από πλευράς δρομολόγησης. Στη συνέχεια μια βάση γεωεντοπισμού αντιστοιχίζει αυτή τη διεύθυνση σε μία τοποθεσία, που μπορεί να είναι εταιρική διεύθυνση καταχώρισης σε άλλη ήπειρο ή κέντρο δεδομένων που δεν είναι αυτό που απαντά. Το RFC 4786 καλύπτει την επιχειρησιακή πρακτική για υπηρεσίες anycast και τη δυσκολία σύνδεσης μιας τέτοιας διεύθυνσης με ένα φυσικό μέρος. Ο χάρτης είναι απλοποίηση μιας απόφασης δρομολόγησης και απλοποιεί προς την κατεύθυνση που παράγει ανησυχητικά αποτελέσματα.

Η προώθηση προσθέτει δεύτερο επίπεδο. Ένας τοπικός stub resolver, ένας δρομολογητής ή ένας resolver του παρόχου μπορεί να περάσει τα ερωτήματα σε ανώτερη υπηρεσία, και το όνομα που εμφανίζεται στο τεστ αντικατοπτρίζει τον τελευταίο χειριστή αυτής της αλυσίδας και όχι τον πρώτο. Οι επεκτάσεις υποδικτύου πελάτη μπορούν να κάνουν μια απάντηση από πάνω προσαρμοσμένη στο δίκτυό σας, ενώ ταυτόχρονα κάνουν την αναφερόμενη τοποθεσία να μοιάζει με μέρος όπου δεν έχετε πάει ποτέ.

Ένας ρυθμισμένος resolver μπορεί επομένως να είναι σωστός και να παράγει ακόμη αποτέλεσμα που μοιάζει ξένο, και ένας resolver στη δική σας χώρα μπορεί να είναι ο λάθος επειδή ανήκει σε μέρος που δεν επιλέξατε.

Ποιος έλαβε το όνομα και με ποια διαδρομή

Δύο ερωτήματα απαντούν στο πρακτικό μέρος: ποιον διακομιστή χρησιμοποιεί ο πελάτης και αν σε αυτόν τον διακομιστή φτάνει κανείς μέσω της σήραγγας. Συγκρίνετε τη λίστα resolver με τη διεύθυνση στο αποτέλεσμα του τεστ πριν βγάλετε συμπεράσματα για τη δρομολόγηση και μετά ελέγξτε ότι το ερώτημα προς αυτή τη διεύθυνση βγαίνει από τη διεπαφή της σήραγγας. Αν οι δύο διευθύνσεις διαφέρουν, το ενδιαφέρον εύρημα είναι ότι κάτι ξαναέγραψε ή παρέκαμψε τον προβλεπόμενο resolver, κάτι που αξίζει πιο προσεκτική ματιά από το όνομα της χώρας.

resolvectl query example.com
resolvectl status | grep -A3 'DNS Servers'
dig +short TXT whoami.akamai.net

Η πρώτη εντολή δείχνει ποιος διακομιστής απάντησε για ένα όνομα, η δεύτερη δείχνει τη ρυθμισμένη λίστα και το εύρος της, και η τρίτη αναφέρει τη διεύθυνση resolver όπως τη βλέπει μια δημόσια υπηρεσία. Όταν και οι τρεις συμφωνούν, η πολιτική κάνει αυτό για το οποίο ρυθμίστηκε, ό,τι κι αν λέει η ετικέτα χώρας.

Συγκρίνετε με την πολιτική που επιλέξατε

Ένα VPN που επιβάλλει resolver, ένα πρόγραμμα περιήγησης ρυθμισμένο να χρησιμοποιεί το δικό του κρυπτογραφημένο DNS και ένα λειτουργικό σύστημα που προτιμά τις ρυθμίσεις μίας διεπαφής μπορούν να είναι το καθένα σωστό χωριστά ενώ συγκρούονται συνολικά. Τα σύγχρονα προγράμματα περιήγησης μπορούν να στέλνουν ερωτήματα μέσω κρυπτογραφημένης μεταφοράς σε πάροχο που επιλέγεται μέσα στο πρόγραμμα, κάτι που παρακάμπτει σκόπιμα τη λίστα resolver του συστήματος. Αυτό δεν είναι διαρροή με την έννοια της σπασμένης σήραγγας· είναι πολιτική που επιλέχθηκε κάπου αλλού, και το να βρείτε πού επιλέχθηκε είναι η πραγματική δουλειά.

Οι συσκευές εργασίας προσθέτουν κανόνες ανά τομέα: τα εσωτερικά ονόματα πρέπει να πηγαίνουν στον resolver του οργανισμού ενώ όλα τα άλλα ακολουθούν την προεπιλογή. Το να αντικαταστήσετε αυτή τη ρύθμιση επειδή μια σελίδα δοκιμής έδειξε μια απρόσμενη χώρα είναι ο τρόπος με τον οποίο τα εσωτερικά ονόματα παύουν να επιλύονται για ολόκληρη ομάδα.

Κρατήστε τις δοκιμές στενές και ασφαλείς

Το να ρωτήσετε μια δημόσια υπηρεσία δοκιμών για ένα εσωτερικό όνομα κεντρικού υπολογιστή αποκαλύπτει το όνομα σε μέρος που δεν έχει καμία δουλειά να το δει, και η απάντηση δεν σας λέει τίποτα που δεν θα σας έλεγε η τοπική ανάγνωση της λίστας resolver.

Χρησιμοποιήστε αντί γι’ αυτό ονόματα που αποκαλύπτουν υποδομή, καταγράψτε τη διεύθυνση resolver, το εύρος και τη διεπαφή που χρησιμοποιήθηκε, και συγκρίνετε αυτή την καταγραφή με την τεκμηριωμένη πρόθεση. Μια ετικέτα χάρτη είναι πλαίσιο για μια συζήτηση και όχι αποτέλεσμα επιτυχίας ή αποτυχίας, και το να τη μεταχειρίζεστε ως ετυμηγορία παράγει αλλαγές ρυθμίσεων αντί για διάγνωση.