Kial landa etikedo de DNS ne pruvas likon de VPN

Eksterlande aspektaj adresoj de solviloj aperas konstante en rezultoj de DNS-testoj, kaj la konkludo, al kiu homoj venas, estas ĉiam la sama: la demandoj devis eskapi el la tunelo. Foje ili ja eskapis. Pli ofte la raporto priskribas, kiu rekursia servo respondis kaj kie datumbazo opinias, ke tiu adreso situas, kaj tio estas aserto pri infrastrukturo, ne pri viaj pakaĵoj. Apartigi la observon de la konkludo postulas tri faktojn: kiu respondis, kiel vojaĝis la nomo kaj kian politikon vi efektive agordis.

Legu, kion la testo efektive observis

Plej multaj testaj paĝoj funkcias same: ili petas la klienton solvi unikan gastigantan nomon kaj poste rigardas, kiu solvilo akiris ĝin, aŭ ili simple resendas la solvilan adreson, kiun la kliento raportas. Tio identigas rekursian servon kaj, se la demando portis informon pri klienta subreto, krudan retan lokon. Ĝi ne pruvas, ke la demando forlasis la aparaton ekster la tunelo, kaj certe ne pruvas, ke la sama vojo estis uzata por ĉiu nomo. Unu observo de unu serĉo estas ĝeneraligata al aserto pri la tuta trafiko.

Testo, kiu montras la solvilan adreson, estas pli utila ol landa insigno, ĉar la adreson eblas kompari kun la solvila listo, kiun la kliento efektive ricevis.

Anycast kaj plusendo klarigas plej multajn surprizojn

Grandaj publikaj solviloj anoncas la saman adreson el multaj lokoj, kaj la reto direktas ĉiun demandon al tiu ejo, kiu estas plej proksima laŭ enkursigo. Poste geolokada datumbazo mapas tiun adreson al unu loko, kiu povas esti firmaa registra adreso sur alia kontinento aŭ datena centro, kiu ne estas tiu, kiu respondas. RFC 4786 traktas la operacian praktikon por anycast-servoj kaj la malfacilecon ligi tian adreson al unu fizika loko. La mapo estas simpligo de enkursiga decido, kaj ĝi simpligas en la direkto, kiu produktas alarmajn rezultojn.

Plusendo aldonas duan tavolon. Loka stub-solvilo, enkursigilo aŭ solvilo de provizanto povas pasigi demandojn al pli supra servo, kaj la nomo, kiu aperas en la testo, spegulas la lastan operatoron en tiu ĉeno, ne la unuan. Etendaĵoj pri klienta subreto povas igi respondon de supre taŭgigita al via reto, samtempe igante la raportitan lokon aspekti kiel loko, kie vi neniam estis.

Agordita solvilo do povas esti ĝusta kaj tamen produkti eksterlande aspektan rezulton, kaj solvilo en via propra lando povas esti la malĝusta, ĉar ĝi apartenas al partio, kiun vi ne elektis.

Kiu ricevis la nomon, kaj per kiu vojo

Du demandoj respondas la praktikan parton: kiun servanton uzas la kliento, kaj ĉu tiu servanto atingeblas tra la tunelo. Komparu la solvilan liston kun la adreso en la testa rezulto antaŭ ol fari konkludojn pri enkursigo, poste kontrolu, ke la demando al tiu adreso eliras tra la tunela interfaco. Se la du adresoj malsamas, la interesa trovajo estas, ke io reskribis aŭ preterpasis la celitan solvilon, kio meritas pli proksiman rigardon ol la landa nomo.

resolvectl query example.com
resolvectl status | grep -A3 'DNS Servers'
dig +short TXT whoami.akamai.net

La unua komando montras, kiu servanto respondis pri nomo, la dua montras la agorditan liston kaj ĝian amplekson, kaj la tria raportas la solvilan adreson tiel, kiel vidas ĝin publika servo. Kiam ĉiuj tri kongruas, la politiko faras tion, por kio ĝi estis agordita, kion ajn diras la landa etikedo.

Komparu kun la politiko, kiun vi elektis

VPN, kiu trudas solvilon, retumilo agordita uzi sian propran ĉifritan DNS, kaj operaciumo, kiu preferas la agordojn de unu interfaco povas ĉiu aparte esti ĝusta dum ili kune kontraŭdiras. Modernaj retumiloj povas sendi demandojn per ĉifrita transporto al provizanto elektita en la retumilo, kio intence preterpasas la solvilan liston de la sistemo. Tio ne estas liko en la senco de rompita tunelo; temas pri politiko elektita aliloke, kaj trovi, kie ĝi estis elektita, estas la vera tasko.

Labor-aparatoj aldonas regulojn por apartaj domajnoj: internaj nomoj devas iri al la solvilo de la organizo dum ĉio alia sekvas la defaŭlton. Anstataŭigi tiun aranĝon ĉar testa paĝo montris neatenditan landon estas la maniero, kiel internaj nomoj ĉesas solviĝi por tuta teamo.

Tenu la testojn mallarĝaj kaj sekuraj

Demandi publikan testan servon pri interna gastiganta nomo malkaŝas la nomon al partio, kiu nenion celas vidi ĝin, kaj la respondo diras al vi nenion, kion loka legado de la solvila listo ne dirus.

Uzu anstataŭe nomojn, kiuj malkaŝas infrastrukturon, registru la solvilan adreson, la amplekson kaj la uzitan interfacon, kaj komparu tiun registron kun la dokumentita intenco. Mapo-etikedo estas kunteksto por konversacio, ne rezulto de sukceso aŭ malsukceso, kaj trakti ĝin kiel verdikton produktas agordajn ŝanĝojn anstataŭ diagnozon.