Kuhu DNS läheb, kui ühendad Tori ja VPN-i

Töötavad kaks privaatsustööriista, üks leht ei laadi ja resolveri test ütleb, et midagi väljaspool brauserit sai nime. Enne kui sellest saab lekkeraport, nimeta vahetus, kust see tuli. Tori ja VPN-i seadistus sisaldab vähemalt kolm erinevat nimepäringut kolme erineva omanikuga, ja nende läbivaatamine selles järjekorras, milles need toimuvad, on kiireim viis näha, milline neist käitub valesti.

Nimeta iga vahetus, enne kui nimetad seda lekkeks

Esimene vahetus lahendab VPN-i lõpp-punkti enda ja toimub enne, kui mingit kaitset olemas on. Teine lahendab Tor Browseri jaoks sihtkoha, mis võib nime edasi anda puhverserverile, selle asemel et see kohapeal lahendada. Kolmas katab kõik muu masinas, sealhulgas värskenduste kontrollid, meilikliendid ja operatsioonisüsteemi enda teenusepäringud. Ainult esimene neist saab toimuda ilma, et teised kaks oleksid kaasatud.

Igaüks neist võib järgida erinevat teed, ja üks brauseripõhine test jälgib ainult oma päringut. Ühe tulemuse pidamine kõigi kolme seisundiks on koht, kust suurem osa segadusest algab.

Kirjuta üles, millised nimed kuuluvad millisesse kihti, enne kui midagi muudad. Privaatsed organisatsiooninimed, avalik sihtkoht ja tunnelilõpp-punkt ise ei kanna sama nõuet, ja poliitika, mis kohtleb neid ühe kategooriana, läheb midagi katki.

Alglaadimispäring toimub enne tunnelit

Hostinimega seadistatud klient peab selle nime lahendama, et tunnel avada, ja sel hetkel ei ole tunnelit, mis päringut kannaks. Vastab mis tahes resolver, mida operatsioonisüsteem praeguses võrgus pakub, mis võib olla captive portal, hotelli resolver või avalik. See ei ole leke tunnelis, sest tunnelit veel ei ole.

Brauseri turvalise DNS-i seadistuse muutmine ei puuduta samuti seda päringut, sest see kuulub teenusele, mis töötab väljaspool brauserit ja algab enne mis tahes lehe avamist. Kui lõpp-punkti nime ei õnnestu lahendada, ei aita ükski tunnelisisene poliitika, sest tõrge toimub ühe etapi varem kui kõik, mida seadistus kirjeldab.

See on ainus koht, kus lõpp-punkti jaoks literaalse aadressi kasutamine, kui teenusepakkuja seda toetab, eemaldab sõltuvuse, selle asemel et seda lisada. See eemaldab ka võimaluse järgida teenusepakkujat, kes aadresse roteerib, nii et vahetus on tegelik ja tuleks otsustada, mitte avastada.

Brauser ja ülejäänud masin erinevad

Tori SOCKS-liides toetab sihtkoha hostinime edasiandmist puhverserverile, mis tähendab, et lahendamise teeb kaugpool ja kohalik masin ei küsi kunagi. Üldine rakendus, mis toetab puhverserverit, võib nime kõigepealt kohapeal lahendada ja seejärel saadud aadressiga ühenduda, mis tekitab kohaliku päringu sihtkoha kohta, mida kasutaja arvas olevat puhverserveri kaudu. Seega võivad kaks rakendust lekkida erinevates kohtades, jagades samal ajal ühte puhverserveri seadistust. Miski jagatud puhverserveri aadressis ei ütle, milline kahest käitumisest on kasutusel.

Brauserid lisavad veel ühe kihi, kui turvaline DNS on lubatud, sest brauser saab valida oma teenusepakkuja ja süsteemiresolverit täielikult vältida. Tunneliklient võib vahepeal lükata resolveri läbi tunneli kogu masina jaoks. Need kaks seadistust võivad mõlemad olla õiged ja kirjeldada siiski erinevat käitumist erinevate programmide jaoks.

Kontrolli programmi, mis päringu tegi, selle asemel et ühe testlehe põhjal üldistada. Vahe tunnelis kantava päringu ja sellise vahel, mis ei jõudnud kunagi Torini, on täpselt see vahe, mida üks resolveri aadress näidata ei suuda.

Kontrolli iga programmi, seejärel võrdle kavatsusega

Tee vaatlused eraldi: mida süsteem kasutaks, mille jaoks brauser on seadistatud, ja kas SOCKS-ühendus kannab nime või aadressi. Viimane on vahe kaug- ja kohaliku lahenduse vahel, ja SOCKS-i laienduste spetsifikatsioon kirjeldab, kuidas hostinime edasi antakse, selle asemel et see kõigepealt lahendada.

resolvectl status | grep -E "Current DNS Server|DNS Servers"
ss -tnp '( dport = :9050 )'
dig +short dev.internal.example
getent hosts vpn-endpoint.example.net

Seejärel võrdle seda, mida vaatlesid, sellega, mida kavatsesid. Avalik nimi, mille lahendab tunnelis sinu valitud resolver, ei ole sama leid kui privaatne nimi, mis antakse tagasilanguse ajal avalikule resolverile, ja tavaliselt vajab tegutsemist ainult teine. Esimene on seadistus, mis töötab nii, nagu projekteeritud, isegi kui see raportis võõrana tundub.

Kirjuta üles erandid, millega nõustud, sealhulgas alglaadimispäring, mida kaitsta ei saa. Üles kirjutatud erand on disainiotsus, samas kui sama erand hiljem avastatuna näib defektina. See, kes selle leiab, kohtleb seda sellisena, ja sa veedad koosoleku selgitades, miks see nii ei ole.