Miks DNS-i riigimärgis ei tõesta VPN-i leket

Võõrapärased resolveri aadressid ilmuvad DNS-testide tulemustes pidevalt ja järeldus, milleni inimesed jõuavad, on alati sama: päringud pidid tunnelist välja pääsema. Mõnikord pääsesidki. Sagedamini kirjeldab aruanne, milline rekursiivne teenus vastas ja kuhu andmebaas arvab selle aadressi paiknevat, ning see on väide infrastruktuuri, mitte teie pakettide kohta. Vaatluse järeldusest eraldamiseks on vaja kolme fakti: kes vastas, kuidas nimi liikus ja millise poliitika te tegelikult seadistasite.

Lugege, mida test tegelikult vaatles

Enamik testilehti töötab ühtemoodi: nad paluvad kliendil lahendada kordumatu hostinimi ja vaatavad siis, milline resolver selle hankis, või lihtsalt kordavad resolveri aadressi, mille klient teatab. See tuvastab rekursiivse teenuse ja kui päring kandis kliendi alamvõrgu teavet, siis ka ligikaudse võrgupaiga. See ei tõesta, et päring lahkus seadmest väljaspool tunnelit, ja kindlasti ei tõesta, et iga nime jaoks kasutati sama teed. Ühe otsingu üksik vaatlus üldistatakse väiteks kogu liikluse kohta.

Test, mis näitab resolveri aadressi, on kasulikum kui riigimärk, sest aadressi saab võrrelda resolverite loendiga, mille klient tegelikult sai.

Anycast ja edastamine selgitavad enamikku üllatusi

Suured avalikud resolverid kuulutavad sama aadressi paljudest kohtadest ja võrk suunab iga päringu sinna, mis on marsruutimise mõttes kõige lähemal. Seejärel seob geolokatsiooni andmebaas selle aadressi ühe kohaga, mis võib olla ettevõtte registreerimisaadress teisel kontinendil või andmekeskus, mis ei ole see, mis vastas. RFC 4786 käsitleb anycast-teenuste operatiivset tava ja raskusi sellise aadressi sidumisel ühe füüsilise kohaga. Kaart on marsruudiosuse lihtsustus ja see lihtsustab suunas, mis annab murettekitavaid tulemusi.

Edastamine lisab teise kihi. Kohalik stub-resolver, ruuter või teenusepakkuja resolver võib päringud edasi anda ülemisele teenusele ja testis ilmuv nimi peegeldab selle ahela viimast operaatorit, mitte esimest. Kliendi alamvõrgu laiendused võivad muuta ülalt tuleva vastuse teie võrgu jaoks kohandatuks, samal ajal jättes teatatud asukoha näima kohana, kus te pole kunagi käinud.

Seega võib seadistatud resolver olla õige ja anda ikkagi võõrapärase tulemuse, ning teie enda riigi resolver võib olla vale, sest kuulub osapoolele, keda te ei valinud.

Kes nime vastu võttis ja millist teed pidi

Praktilisele osale vastavad kaks küsimust: millist serverit klient kasutab ja kas selle serverini jõutakse tunnelit mööda. Võrrelge resolverite loendit testitulemuses oleva aadressiga, enne kui marsruutimise kohta järeldusi teete, ja seejärel kontrollige, et päring sellele aadressile väljub tunneli liidesest. Kui kaks aadressi erinevad, on huvitav leid see, et miski kirjutas kavandatud resolveri üle või möödus sellest, mis väärib lähemat pilku kui riigi nimi.

resolvectl query example.com
resolvectl status | grep -A3 'DNS Servers'
dig +short TXT whoami.akamai.net

Esimene käsk näitab, milline server ühele nimele vastas, teine näitab seadistatud loendit ja selle ulatust ning kolmas teatab resolveri aadressi nii, nagu näeb seda avalik teenus. Kui kõik kolm ühtivad, teeb poliitika seda, milleks see seadistati, ükskõik mida riigimärk ütleb.

Võrrelge poliitikaga, mille valisite

VPN, mis surub peale resolveri, brauser, mis on seadistatud kasutama oma krüpteeritud DNS-i, ja operatsioonisüsteem, mis eelistab ühe liidese seadeid, võivad üksikuna olla õiged, kuid koos vastuolulised. Kaasaegsed brauserid võivad saata päringuid krüpteeritud transpordiga brauseris valitud teenusepakkujale, mis möödub teadlikult süsteemi resolverite loendist. See ei ole leke katkise tunneli mõttes; see on mujal valitud poliitika ja selle leidmine, kus see valiti, on tegelik ülesanne.

Tööseadmed lisavad domeenipõhiseid reegleid: sisemised nimed peavad minema organisatsiooni resolverisse, samal ajal kui kõik muu järgib vaikeväärtust. Selle korralduse asendamine seetõttu, et testileht näitas ootamatut riiki, on viis, kuidas sisemised nimed lakkavad terve meeskonna jaoks lahendamast.

Hoidke testid kitsad ja turvalised

Avalikult testteenuselt sisemise hostinime pärimine paljastab nime osapoolele, kellel pole sellega asja, ja vastus ei ütle teile midagi, mida kohalik resolverite loendi lugemine ei ütleks.

Kasutage selle asemel nimesid, mis paljastavad infrastruktuuri, kirjutage üles resolveri aadress, ulatus ja kasutatud liides, ning võrrelge seda kirjet dokumenteeritud kavatsusega. Kaardimärgis on vestluse kontekst, mitte läbitud või kukutud tulemus, ja selle kohtuotsusena käsitlemine tekitab diagnoosi asemel seadistuse muudatusi.