Teie VPN-i DNS-varulahendus: kuhu päring tegelikult läheb

Resolveri säte lülitub privaatselt aadressilt avalikule ja järeldus tuleb kohe: tunnel lekib. Mõnikord ongi nii. Sageli reisis varupäring siiski tunneli sees resolverini, mille administraator valis, mis teeb sellest pigem poliitikavaliku kui vea. Nende juhtumite eristamiseks on vaja kolme fakti ühe asemel ja esimene neist on see, kes vastas. Tehke kindlaks, kes päringu vastu võttis, milline marsruut seda kandis ja milliseid nimesid küsiti.

Varulahendus on poliitika, mitte üksainus käitumine

Iga klient peab otsustama, mida teha, kui eelistatud resolver enam ei vasta. Ta võib lahendamise blokeerida, uuesti proovida, kasutada seadistatud alternatiivi või jätta selle operatsioonisüsteemi hooleks, ja privaatsuse seisukohast on need neli erinevat toodet. Seadete ekraani lugemine ütleb, milline käitumine on seadistatud; see ei ütle, milline neist toimus. Ühte lülitit pakkuv ekraan ei kirjelda nelja võimalust.

Brauserid lisavad oma kihi. Turvalise DNS-iga brauser, võib nime lahendada oma valitud teenusepakkuja kaudu ka siis, kui operatsioonisüsteem osutab mujale, mis tähendab, et tunneli kliendi poliitikat ei pruugita kunagi küsida nende päringute puhul, millest teile tegelikult hoolite. Kontrollige rakendust, mis päringu tegi, mitte ainult süsteemiseadet.

Asendusresolveri identiteet on esimene fakt, mida tasub välja selgitada. Avalik resolver, mis kuulub teenusepakkujale, keda te juba usaldate, on teine olukord kui võrgu poolt antud aadress, milles te parasjagu olete. Aadress ise ütleb harva, kumba neist te vaatate.

Kes saab päringu pärast lülitumist

Vastuvõtja ja marsruut on sõltumatud ning ainult nende kombinatsioon kirjeldab kokkupuudet. Tunnelist läbi jõutud avalik resolver ei näe kunagi teie juurdepääsuvõrgu aadressi, samas kui otse jõutud sama resolver näeb. Mõlemad juhtumid annavad vastuse ja lekketest, mis teatab ainult resolveri aadressi, kirjeldab neid identselt. Tulemust lugedes küsige lisaks aadressile ka liidest.

Sisemised nimed teevad vahe konkreetseks. Avalik resolver ei suuda tavaliselt vastata split-horizon-nimele, nii et päring ebaõnnestub, samal ajal kui nimi on juba avaldatud osapoolele, kellel polnud sellega midagi tegemist. Kättesaadavus ja privaatsus liiguvad siin seega koos, mitte ei vahetu.

Tunnel võib päringu kanda ka resolverini, mida VPN-i pakkuja ei käita, sest tunnel edastab, mitte ei lahenda. Edastav host näeb päringut avatekstina ja avab seejärel oma ühenduse edasi, mis kaitseb järgmist hüpet ilma esimest kaitsmata.

Kontrollige marsruuti ja vastuvõtjat koos

Jälgige pakette, mitte seadistust. Küsige süsteemilt, millist resolverit kasutataks, ja kinnitage seejärel, et päring lahkus tõepoolest oodatud liidesest oodatud aadressile.

resolvectl status | grep -E "Current DNS Server|DNS Servers|DNSOverTLS"
dig +short example.com
tcpdump -ni any udp port 53 or tcp port 853

Kui salvestus näitab, et päring lahkub füüsilisest liidesest tunneli töötamise ajal, möödus varulahendus tunnelist sõltumata sellest, mida resolverite loend ütleb. Kui see ilmub tunneli liidesele, muutub küsimus selleks, kes käitab kaugemat otsa ja mida see säilitab.

Korrake kontrolli ühe sisemise ja ühe avaliku nimega. Sisemine päring on koht, kus varuseadistus tavaliselt end paljastab, sest resolver, mis ei suuda vastata, saab küsimuse ikkagi.

Otsustage, kas varulahendust lubada

Kui nõue on, et lahendamine peatub, kui eelistatud resolver pole saadaval, seadistage jõustamispoliitika, mis nurjub suletult, ja nõustuge tagajärjega: nimed ei lahene katkestuse ajal. See on tahtlik kättesaadavuse vahetus, mitte rike, ja projekt peaks seda ütlema enne, kui katkestus juhtub.

Kui nõue on ainult see, et päringud ei tohi liikuda väljapoole tunnelit, võib tunnelist läbi jõutud avalik resolver olla vastuvõetav, eeldusel et operaator ja tema säilitamispoliitika on mõistetud. Selline nõustumine on hinnang kolmandale osapoolele, mitte väide krüptograafia kohta, ja see kuulub sellele, kes privaatsusväidet kannab. Kui sisemised nimed peavad edasi toimima, peab varulahendus olema resolver, mis hoiab sisemisi tsoone, mis tavaliselt tähendab, et varueesmärk on teine server, mitte teine aadressiperekond.

Dokumenteerige tulemus käitumist kirjeldava lausena: milline resolver saab päringuid tavakäituses, milline saab neid rikke järel ja kas sisemised nimed lahenevad teisel juhul. Lekketest, mis lõpuks lehe laadib, tõestab sellest lausest vähem, sest leht võib laadida resolveri kaudu, mida poleks tohtinud kunagi küsida.