Via VPN-DNS-rezervo: kien la peto vere iras

Solvila agordo transsaltas de la privata adreso al publika, kaj la konkludo venas tuj: la tunelo likas. Kelkfoje ĝi ja likas. Ofte la rezerva peto ankoraŭ vojaĝis ene de la tunelo al solvilo, kiun la administranto elektis, kio igas ĝin politika decido anstataŭ difekto. Apartigi tiujn kazojn postulas tri faktojn anstataŭ unu, kaj la unua el ili estas, kiu respondis. Malkovru, kiu ricevis la peton, kiu itinero portis ĝin, kaj pri kiuj nomoj oni demandis.

Rezervo estas politiko, ne unu konduto

Ĉiu kliento devas decidi, kion fari, kiam la preferata solvilo ĉesas respondi. Ĝi povas bloki solvon, reprovi, uzi agorditan alternativon aŭ transdoni al la operaciumo, kaj el vidpunkto de privateco tiuj estas kvar malsamaj produktoj. Legi la agordan ekranon diras al vi, kiu konduto estas agordita; ĝi ne diras, kiu okazis. Ekrano kun unu ŝaltilo ne priskribas kvar eblecojn.

Retumiloj aldonas sian propran tavolon. Retumilo kun sekura DNS ŝaltita povas solvi nomon per sia propra elektita provizanto eĉ kiam la operaciumo montras aliloken, kio signifas, ke la politiko de la tunela kliento eble neniam estos konsultita por la petoj, kiuj vere gravas al vi. Kontrolu la aplikaĵon, kiu faris la peton, ne nur la sisteman agordon.

La identeco de la anstataŭa solvilo estas la unua fakto inda establi. Publika solvilo apartenanta al provizanto, kiun vi jam fidas, estas alia situacio ol adreso liverita de la reto, en kiu vi hazarde troviĝas. La adreso mem malofte diras, kiun el tiuj vi rigardas.

Kiu ricevas la peton post la ŝanĝo

La ricevanto kaj la itinero estas sendependaj, kaj nur ilia kombino priskribas la elmeton. Publika solvilo atingita tra la tunelo neniam vidas vian alirretan adreson, dum la sama solvilo atingita rekte ja vidas ĝin. Ambaŭ kazoj produktas respondon, kaj lika testo, kiu raportas nur la adreson de la solvilo, priskribos ilin idente. Petu la interfacon same kiel la adreson, kiam vi legas la rezulton.

Internaj nomoj igas la distingon konkreta. Publika solvilo kutime ne povas respondi nomon de split-horizon, do la peto malsukcesas dum la nomo ankoraŭ estis malkaŝita al partio, kiu nenion rilatis al ĝi. Disponebleco kaj privateco do kuniras ĉi tie anstataŭ interŝanĝiĝi.

Tunelo ankaŭ povas porti la peton al solvilo, kiun ne funkciigas la VPN-provizanto, ĉar la tunelo plusendas anstataŭ solvi. La plusendanta gastiganto vidas la peton en klarteksto kaj tiam malfermas sian propran konekton pluen, kio protektas la sekvan salton sen protekti la unuan.

Kontrolu la itineron kaj la ricevanton kune

Observu la pakaĵojn anstataŭ la agordon. Demandu la sistemon, kiu solvilo estus uzata, poste konfirmu, ke la peto efektive eliris el la atendita interfaco al la atendita adreso.

resolvectl status | grep -E "Current DNS Server|DNS Servers|DNSOverTLS"
dig +short example.com
tcpdump -ni any udp port 53 or tcp port 853

Se la kaptaĵo montras la peton elirantan el la fizika interfaco dum la tunelo estas aktiva, la rezervo preterpasis la tunelon sendepende de tio, kion diras la solvila listo. Se ĝi aperas sur la tunela interfaco, la demando iĝas, kiu funkciigas la malproksiman finon kaj kion ĝi konservas.

Ripetu la kontrolon por unu interna nomo kaj unu publika nomo. La interna peto estas kie rezerva agordo kutime malkaŝas sin, ĉar solvilo, kiu ne povas respondi, tamen ricevas la demandon.

Decidu, ĉu la rezervo estu permesata

Se la postulo estas, ke solvo haltu kiam la preferata solvilo ne disponeblas, agordu devigan politikon, kiu malsukcesas fermite, kaj akceptu la sekvon: nomoj ne solviĝos dum interrompo. Tio estas intenca interŝanĝo de disponebleco, ne misfunkcio, kaj la dezajno devus tion diri antaŭ ol la interrompo okazas.

Se la postulo nur estas, ke petoj ne vojaĝu ekster la tunelon, publika solvilo atingita tra la tunelo povas esti akceptebla kondiĉe ke la funkciiganto kaj ĝia konserva politiko estas komprenataj. Tia akcepto estas juĝo pri tria partio, ne aserto pri kriptografio, kaj ĝi apartenas al tiu, kiu posedas la privatecan pretendon. Se internaj nomoj devas daŭre funkcii, la rezervo devas esti solvilo, kiu tenas la internajn zonojn, kio kutime signifas, ke la rezerva celo estas alia servilo, ne alia adresa familio.

Dokumentu la rezulton kiel frazon pri konduto: kiu solvilo ricevas petojn en normala funkciado, kiu ricevas ilin post fiasko, kaj ĉu internaj nomoj solviĝas en la dua kazo. Lika testo, kiu fine ŝargas paĝon, pruvas malpli ol tiu frazo, ĉar paĝo povas ŝargiĝi per solvilo, kiun oni neniam devintus konsulti.