Kes haldab 1.1.1.1? DNS-aadressi kontrollimine enne selle usaldamist

Kleepisite 1.1.1.1 VPN-i DNS-väljale, leht laadis ja õpetus näib nüüd kinnitatud. See tähelepanek on kitsam, kui tundub: rakendus käitus teisiti ja muudatus ei ütle veel midagi selle kohta, kes päringule vastas või miks vana seadistus ebaõnnestus. Kopeeritud õpetus nimetab tuntud avalikku aadressi sageli „VPN-i DNS-iks“, mis on väide omandi, mitte kättesaadavuse kohta. Aadressi tähenduse kontrollimine võtab viis minutit ja hoiab ära püsiva muudatuse vale põhjuse tõttu.

Toimiv seade ei ole identiteet

Sätteväljal olev aadress on lõpp-punkt ja lõpp-punktil on haldaja. Need kaks fakti on eraldi ja teine neist on see, mille inimesed vahele jätavad. Kõige sagedamini kopeeritud paari puhul on vastus avalik: Cloudflare avaldab 1.1.1.1 ja 1.0.0.1 oma resolveri aadressidena ning loetleb need oma ametlikus aadressiviites. Seetõttu kuulub haldaja nimi aadressi kõrvale, mitte eraldi õpetusse.

Selle paari sisestamine tõmmatud tunneliga ei tee VPN-i ettevõttest selle haldajat ega muuda liiklust anonüümsaks. Päring lahkub teie masinast ettevõtte poole, mis avaldab aadressivahemiku, ja see ettevõte võib olla mainekas ning ikkagi mitte see osapool, mida õpetus vihjas. Juhendi silt ja tegelik haldaja on erinevad väited. Kumbki ei ütle, kes haldab vahepealset võrguteed.

Kasutage resolveri enda avaldatud viidet aadressipaari või krüptitud lõpp-punkti kinnitamiseks. Teise tarnija soovitus võib olla õiguspärane, ja „soovitatud“, „läbi jõutud“ ning „hallatud“ kirjeldavad endiselt kolme erinevat suhet.

Võrrelge kolme asja, mida kirje vajab

Ülevaatamiseks valmis kirje eraldab kolm küsimust: kes peaks päringu saama, kas vahetus on tavaline või krüptitud ja milline tee peaks seda kandma. Teenusepakkuja nimi ei saa täita teist ega kolmandat ning riigisilt ei saa täita ühtegi neist. Kirjutage kolm kannet enne muudatust üles ja võrrelge neid pärast. Need kanded ei ole vahetatavad ja nende käsitlemine ühena on viis, kuidas oletusest saab dokumentatsioon.

Võrdlus on see, mis muudab toimiva seade dokumenteeritud otsuseks. Ilma selleta pärib järgmine inimene aadressi, mille küljes pole ühtegi põhjust. Lugege kõigepealt alloleva tabeli kolmandat veergu, sest just seal lõpevad enamik enesekindlaid selgitusi tegelikult.

Tabel on meelega lühike. Selle mõte on, et iga kanne vastab erinevale küsimusele ja ükski väli ei täida kõiki kolme.

Kohalik edastaja varjab tegelikku allikat

Seade, mis on seadistatud kasutama ruuterit DNS-ina, osutab edastajale. See aadress määrab päringu järgmise saaja, mitte resolveri, mis sellele lõpuks vastab. Kohalik stub-resolver lisab sama lisasammu, ja seda on lihtne tegeliku asjaga segi ajada, sest see ilmub igas olekuväljundis.

Stub edastab allikatele, mida sama väljund samuti loetleb, tavaliselt kaugemal allpool. Lugege kogu ahel läbi enne, kui haldaja kohta midagi järeldate, sest esimene rida ei ole kogu vastus. Vastasel juhul nimetate vastuvõtu ettevõtteks.

resolvectl status | grep -A4 'Current DNS Server'
dig +short CH TXT whoami.cloudflare @1.1.1.1
dig example.com | grep -E '^;; SERVER'

Teine käsk kasutab resolveri kaja-nime, kui haldaja selle avaldab, et teatada lähteaadress, mida see näeb. Kolmas nimetab serveri, mis vastas, ja see ei ole sageli aadress, mille te seadistasite. Võrrelge kõiki kolme väljundit enne haldaja üleskirjutamist.

Krüptitud DNS muudab seda, mis on nähtav, mitte seda, kes seda näeb

DNS over HTTPS ja DNS over TLS kaitsevad vahetust kliendi ja resolveri vahel. Resolver loeb endiselt iga nime, mille kohta küsitakse, sest vastamine on töö. Muutub see, kes saab vahetust jälgida: kohalik võrk näeb ühendust ühe lõpp-punktiga, mitte lihtteksti päringute voogu.

See, mis ei muutu, on usaldussuhe, mis osutab endiselt organisatsioonile, kes seda lõpp-punkti haldab. Brauser, millel on oma turvalise DNS-i säte, võib operatsioonisüsteemi resolverist täielikult mööda minna. Käsitlege neid kahe seadistusena, mis võivad erineda, mitte ühe kaks korda rakendatud sättena.

Privaatsed nimed vajavad jälle oma otsust. Töötunnel võib suunata valitud domeenid organisatsiooni resolveritele, ja selle asendamine avaliku teenusega võib rikkuda sisemised otsingud või paljastada sisemised nimed valele osapoolele. Kontrollige domeenipoliitikat enne, kui asendate kogu adapteri sätted.

Hoidke tähelepanek kitsas

Kui võrdlete, hoidke vana seadistus alles ja muutke korraga ühte sätet. Märkige üles rakendus, toiming, resolveri poliitika ja kas avalikud ning lubatud privaatsed nimed lahenevad pärast uuesti ühendamist endiselt. Võrdlus, milles on kaks muudatust, ei tõesta kumbagi. Kirjutage tulemus sinna, kust järgmine inimene selle leiab, seadistuse enda kõrvale.

resolvectl query intranet.corp.example
resolvectl domain
dig +short @1.1.1.1 example.com

Kui rakendus hakkab tööle, hoidke väidet nii väikesena, kui tõendid lubavad. See muudatus aitas ühte testi ega ütle midagi selle kohta, kas varasem resolver tegutses halvas usus, kas tunnel oli katki või kas mõni teine seade vajab sama asendust. Püsiv tulemus on seadistus, mille haldajat ja eesmärki saate selgitada.