Γιατί ένα hotspot ανακατευθύνει το DNS πριν συνδεθεί το VPN;

Η σύνδεση σε δίκτυο ξενοδοχείου φέρνει μπροστά σας δύο αποφάσεις DNS σε διαφορετικές στιγμές: τις αναζητήσεις που κάνει η συσκευή κατά τη σύνδεση και τις αναζητήσεις που γίνονται αφού στηθεί η σήραγγα. Ένα hotspot μπορεί να επηρεάσει τις πρώτες μέσω του δικτύου που ελέγχει. Οι δεύτερες εξαρτώνται από την πολιτική του ίδιου του πελάτη, κάτι ξεχωριστό που πρέπει να ελεγχθεί.

Περπατήστε τη σύνδεση με σειρά, από την πρώτη μίσθωση DHCP έως το ερώτημα που επέλυσε ένα ιδιωτικό όνομα. Τότε δύο αποτυχίες που φαίνονται ίδιες σε ένα δελτίο υποστήριξης χωρίζονται καθαρά: η μία συνέβη πριν υπάρξει η σήραγγα και η άλλη μέσα σε αυτή.

Τι μπορεί και τι δεν μπορεί να αγγίξει το hotspot

Το δίκτυο πρόσβασης δίνει μια διεύθυνση resolver μέσω DHCP και μπορεί να υποκλέψει τη θύρα 53 προς αυτή τη διεύθυνση. Αυτό αρκεί για να απαντηθεί κάθε μη προστατευμένη αναζήτηση με διεύθυνση πύλης ή σελίδα φραγής. Αρκεί επίσης για να σπάσει έναν πελάτη VPN του οποίου το τελικό σημείο είναι γραμμένο ως όνομα κεντρικού υπολογιστή.

Αυτό που δεν μπορεί το hotspot είναι να διαβάσει ή να ξαναγράψει ένα ερώτημα μόλις αυτό ταξιδεύει μέσα σε μια εδραιωμένη σήραγγα, υποθέτοντας ότι η σήραγγα το μεταφέρει πραγματικά. Η υποκλοπή εξαρτάται από το να δει κανείς την ερώτηση σε καθαρό κείμενο.

Τα ερωτήματα φεύγουν από τη σήραγγα ούτως ή άλλως για λόγους άσχετους με το hotspot: η ρύθμιση ασφαλούς DNS του προγράμματος περιήγησης, ένας κανόνας split-DNS που κρατά ένα εταιρικό επίθεμα στον τοπικό resolver, ή ένας πελάτης ρυθμισμένος να αποκλείει το DNS από τη σήραγγα. Κάθε ένα είναι επιλογή από την πλευρά του πελάτη και κάθε ένα μοιάζει με παρεμβολή hotspot όταν το βλέπεις από έξω.

Η αρχική αναζήτηση γίνεται πριν υπάρξει η σήραγγα

Ένας πελάτης στον οποίο δίνεται όνομα κεντρικού υπολογιστή πρέπει πρώτα να το επιλύσει, και εκείνη τη στιγμή καμία σήραγγα δεν προστατεύει το ερώτημα. Αν το hotspot απαντήσει με διεύθυνση πύλης, η διαπραγμάτευση αποτυγχάνει ή κολλάει. Αν απαντήσει με τίποτα, ο πελάτης αναφέρει σφάλμα ονόματος και η σήραγγα δεν ξεκινά ποτέ. Οποιοδήποτε από τα δύο αποτελέσματα εξηγεί ένα κενό αρχείο καταγραφής σήραγγας που κατά τα άλλα φαίνεται αθώο.

Τα λειτουργικά συστήματα εκτελούν και τους δικούς τους ελέγχους συνδεσιμότητας και εντοπισμού πύλης, όπως περιγράφονται στα RFC 8910 και RFC 8952, και αυτά τα αιτήματα φεύγουν πριν στηθεί οποιοδήποτε VPN. Το να τα βλέπεις σε αρχείο καταγραφής διαμεσολαβητή είναι αναμενόμενη συμπεριφορά και όχι απόδειξη διαρροής.

Η πρακτική λύση είναι να δοθεί στον πελάτη ένα τελικό σημείο που δεν χρειάζεται αναζήτηση. Όταν αυτό είναι αδύνατο, ολοκληρώστε πρώτα τη σύνδεση και συνδεθείτε μετά.

Βρείτε ποιος resolver απάντησε

Ρωτήστε το σύστημα και όχι το πρόγραμμα περιήγησης, και εκτελέστε το ερώτημα δύο φορές: μία μέσω του resolver που χρησιμοποιεί τώρα η συσκευή και μία προς μια σταθερή διεύθυνση.

resolvectl query vpn.example.com
dig +short vpn.example.com
dig +short vpn.example.com @1.1.1.1

Μια απάντηση από την πρώτη εντολή που διαφέρει από την τρίτη σας λέει ότι ο τοπικός resolver επιστρέφει κάτι άλλο, το οποίο είναι ακριβώς αυτό που κάνει ένα hotspot που ανακατευθύνει. Μια αποτυχία από την τρίτη μαζί με επιτυχία από την πρώτη δείχνει την πύλη: ο τοπικός resolver σέρβιρε διεύθυνση σύνδεσης ενώ η εξερχόμενη θύρα 53 απορρίφθηκε. Τα χρονικά όρια και στις δύο σημαίνουν ότι το δίκτυο πετά το DNS μέχρι να ολοκληρωθεί η πιστοποίηση.

Επαναλάβετε μετά τη σύνδεση και συγκρίνετε. Μια απάντηση από προσωρινή μνήμη επιβιώνει της μετάβασης, οπότε αδειάστε την προσωρινή μνήμη ή ρωτήστε ένα νέο όνομα για τη δεύτερη παρατήρηση.

Κρατήστε τις επόμενες αναζητήσεις στη διαδρομή που σκοπεύατε

Ένα προφίλ πλήρους σήραγγας που αιχμαλωτίζει και το DNS είναι η απλούστερη διάταξη: κάθε ερώτημα από κάθε εφαρμογή πηγαίνει στον resolver που προωθεί η σήραγγα και το τοπικό δίκτυο βλέπει μόνο κρυπτογραφημένη κίνηση. Αποδείξτε το επιλύοντας μετά τη σύνδεση ένα εσωτερικό και ένα δημόσιο όνομα και συγκρίνοντας έπειτα τις δύο απαντήσεις με ό,τι επιστρέφει ο resolver της σήραγγας μόνος του.

Το split-DNS χρειάζεται μια λίστα τομέων γραμμένη με πρόθεση: εταιρικά επιθέματα μέσω της σήραγγας, όλα τα άλλα τοπικά και καμία επικάλυψη μεταξύ των δύο.

Το ασφαλές DNS του προγράμματος περιήγησης βρίσκεται έξω από αυτή την πολιτική, οπότε αν πρέπει να είναι απενεργοποιημένο για να συμπεριφέρεται το προφίλ προβλέψιμα, απενεργοποιήστε το για αυτό το προφίλ και όχι για το μηχάνημα. Κάντε το στις ρυθμίσεις του προγράμματος περιήγησης, όχι επεξεργαζόμενοι τον resolver του συστήματος, ώστε η αλλαγή να είναι ορατή την επόμενη φορά. Καταγράψτε την απάντηση, τον resolver και το στάδιο σύνδεσης σε μία γραμμή ανά δοκιμή. Μια αναφορά που λέει ότι το DNS απέτυχε στο Wi-Fi του ξενοδοχείου περιγράφει ένα σύμπτωμα με τουλάχιστον τρεις διαφορετικές αιτίες.