DNS-resolveri logid versus VPN-ühenduse logid: mida kumbki sisaldab

DNS-resolveri logi ja VPN-ühenduse logi on mõlemad võrgukirjed, mõlemad kasulikud ja mitte vahetatavad. Resolver võtab vastu nimesid, millele tal paluti vastata. VPN-i lõpp-punkt haldab tunnelühendusi ja logib seda, mida tema rakendus otsustas nende kohta logida. Need võivad asuda samas hoones, olla sama meeskonna hallata ja kuuluda sama privaatsusteate alla ning kirjeldavad siiski erinevaid sündmusi erinevate identifikaatorite ja erineva säilitusajaga. Ühe lugemine nii, nagu oleks see teine, ongi see, kuidas juurdlused rappa lähevad.

Kaks logi, kaks sündmust

Resolveri kirje vastab nimetamist puudutavale küsimusele: see klient küsis seda nime sel ajal ja vastuseks oli see. VPN-i kirje vastab ühenduvust puudutavale küsimusele: see peer lõi tunneli või kaotas selle, talle määrati see aadress ja ta edastas umbes niipalju andmeid, enne kui kadus. Kumbki ei ole kirje selle kohta, mida kasutaja HTTPS-seansi sees tegi, ja kumbki ei asenda teist.

Sellel eristusel on lubaduste jaoks praktiline tagajärg. Väide, et VPN-teenuse pakkuja ei logi tunneli tegevust, ei ütle midagi resolveri kohta, mille ta välja annab, ja resolveri säilituspoliitika ei ütle midagi selle kohta, kes tunneliga ühendus. Iga väide kuulub oma operaatorile ja oma süsteemile.

Järgi päringut enne, kui loed kumbagi logi

Päring jõuab resolverini ainult siis, kui tee seda tegelikult küsib. Rakendus võib kasutada operatsioonisüsteemi resolverit, käivitada oma krüpteeritud DNS-kliendi või lugeda vahemällu salvestatud vastust ega saada kunagi midagi. Nii et resolveri logi, mis ei näita midagi, ei ole tõestus, et nime ei kasutatud kunagi; see on tõestus, et seda resolverit ei küsitud.

resolvectl status
dig @127.0.0.53 build.corp.example +qr
journalctl -u systemd-resolved -n 20 --no-pager

Viimane käsk loeb kohaliku resolveri enda žurnaali, mis ei ole sama mis ülemvooluserveri logi. Kui sinu päringud väljuvad DNS over HTTPS-i kaudu teenusepakkuja juurde, ei pruugi kohalik stub näidata midagi, samal ajal kui pakkujal on täielik kirje, ja pakkuja on teine operaator teise poliitikaga.

Mida kumbki kirje näidata saab ja mida mitte

Nende ühendamine ongi tegelik töö ja nende ühendamine ei ole alati võimalik. Resolverit, mis logib kliendi aadresse, saab võrrelda VPN-iga, mis määrab aadresse teadaolevast varust, ja see võrdlus annab usutava seose küsitud nime ja tunneli vahel, mis jääb kahe kirje vaheliseks seoseks, mitte isiku kirjeks.

Krüpteeritud DNS muudab transporti, mitte nähtavust lõpp-punktis. Resolver saab endiselt küsimuse, millele ta vastab, nagu RFC 8484 selgelt näitab, ja säilitamine selles resolveris on poliitika otsus, mitte protokolli omadus.

Kus jaotatud DNS ja vahemälud loo segadusse ajavad

Mitu resolverit on normaalne. Jaotatud DNS-i kujundus saadab sisemised nimed siseserverile ja kõik muu avalikule, nii et üks juurdlus võib hõlmata kahte logi, mida ei olnud kunagi kavas kombineerida, ja kahte säilitusseadet, mida ei olnud kunagi kavas võrrelda. Päringute nägemine mõlemas on tõestus, et kujundus töötab, mitte tõestus lekkest.

Vahemälud lõikavad teises suunas. Populaarsele nimele võidakse vastata vahemälust tunde, nii et resolveri kirje näitab esimest päringut ja siis mitte midagi, samal ajal kui kasutaja rakendus jätkab sama nime rõõmsalt lahendamist. Kirjete puudumine pärast teatud aega ei tähenda, et keegi ei kasutanud nime pärast seda aega.

Taustaliiklus on kolmas moonutus. Telefon, mis alglaadimisel lahendab telemeetria nime, brauser, mis lahendab otsingusoovituse domeeni, ja uuendaja, mis annab endast märku iga tund, ilmuvad kõik resolveri logis selle nime kõrval, millest sulle tegelikult hoolid. Selle logi maht ei ole tähelepanu ja päringute loendamine ei ole külastuste loendamine. Resolveri logi on küsimuste kirje ja küsimusi on odav genereerida.

Esita säilitusküsimused eraldi

Iga süsteemi puhul esita kolm küsimust: kes kogub, mida kogutakse ja kui kaua seda säilitatakse. Seejärel küsi, kes seda lugeda saab ja millise protsessi alusel. RFC 8484 käsitlus DNS over HTTPS-i kohta on hea meeldetuletus, et krüpteeritud transport ei eemalda lõpp-punkti, ja operaatori enda dokumentatsioon on ainus usaldusväärne väide selle kohta, mida see lõpp-punkt säilitab.

Kui privaatsuse kohta tehakse väide „VPN-i“ kohta, jagage see enne vastuvõtmist komponentideks: tunneli operaator, resolver, mille tunnel välja annab, iga ülemvooluresolver, kuhu need päringud jõuavad, ja seadmes olevad rakendused. Igal neist on oma vastus ja ühe kohta täpne väide korratakse rutiinselt nii, nagu kataks see kõik neli.

Tõrkeotsinguks kasutage sama jaotust. Küsige, milline rakendus päringu tegi ja milline resolver sellele vastas, seejärel vaadake logi, millele see sündmus tegelikult kuulub. Teisest logist oletamine säästab minuti ja maksab ühe pärastlõuna.