DNS ebazlearen erregistroak eta VPN konexioaren erregistroak: zer gordetzen duen bakoitzak
Ebazle batek erantzuteko eskatu zioten izenak erregistratzen ditu; VPN batek tunelaren gertaerak erregistratzen ditu bere inplementaziotik. Atxikipen politika batek ez du bestea estaltzen.
DNS ebazlearen erregistroa eta VPN konexioaren erregistroa biak dira sare-erregistroak, biak erabilgarriak eta trukagarriak ez direnak. Ebazleak erantzuteko eskatu zioten izenak jasotzen ditu. VPNaren amaierako puntuak tunel-konexioak kudeatzen ditu eta bere inplementazioak horiei buruz erregistratzea erabaki zuena erregistratzen du. Eraikin berean egon daitezke, talde berak kudea ditzake eta pribatutasun-ohar berak estal ditzake, eta hala ere identifikatzaile desberdinak eta atxikipen desberdinak dituzten gertaera desberdinak deskribatzen dituzte. Bata bestea balitz bezala irakurtzea da ikerketak okertzen diren modua.
Bi erregistro, bi gertaera
Ebazlearen sarrera batek izendapenari buruzko galdera bati erantzuten dio: bezero honek izen hau eskatu zuen une honetan, eta erantzuna hau izan zen. VPNaren sarrera batek konektibitateari buruzko galdera bati erantzuten dio: pare honek tunel bat ezarri edo galdu zuen, helbide hau esleitu zitzaion, eta gutxi gorabehera horrenbeste datu transferitu zituen desagertu aurretik. Biak ez dira erabiltzaileak HTTPS saio baten barruan egin zuenaren erregistroa, eta batek ez du bestea ordezkatzen.
Bereizketak ondorio praktikoa du promesentzat. VPN hornitzaile batek tunelaren jarduera erregistratzen ez duela dioen adierazpenak ez du ezer esaten banatzen duen ebazleari buruz, eta ebazle baten atxikipen politikak ez du ezer esaten tunelera nor konektatu zeni buruz. Baieztapen bakoitza bere operadoreari eta bere sistemari dagokio.
Jarraitu kontsultari bi erregistroetako edozein irakurri aurretik
Kontsulta bat ebazle batera iristen da bideak benetan galdetzen dionean soilik. Aplikazio batek sistema eragilearen ebazlea erabil dezake, bere DNS bezero zifratua exekuta dezake, edo cachean gordetako erantzun bat irakurri eta inoiz ezer bidali ez. Beraz, ezer erakusten ez duen ebazle-erregistroa ez da izen bat inoiz erabili ez zenaren froga; ebazle honi galdetu ez ziotenaren froga da.
resolvectl status
dig @127.0.0.53 build.corp.example +qr
journalctl -u systemd-resolved -n 20 --no-pagerAzken komando horrek tokiko ebazlearen egunkaria irakurtzen du, eta hori ez da goiko zerbitzariaren erregistroaren berbera. Zure kontsultak DNS over HTTPS bidez hornitzaile batera irteten badira, tokiko stub-ak ezer erakuts dezake hornitzaileak erregistro osoa duen bitartean, eta hornitzailea politika desberdina duen beste operadore bat da.
Zer erakuts dezakeen eta zer ez erregistro bakoitzak
| Record | Typically shows | Does not show |
|---|---|---|
| Resolver log | Queried name, client address, time, response | Which page was fetched, or what the tunnel did |
| VPN connection log | Peer identity, assigned address, connect and disconnect times, volume | Which name the application asked for |
| Application or proxy log | Requests, status codes, sometimes full URLs | Resolved addresses for every dependency |
Hauek lotzea da benetako lana, eta lotzea ez da beti posible. Bezeroen helbideak erregistratzen dituen ebazle bat pool ezagun batetik helbideak esleitzen dituen VPN batekin konpara daiteke, eta konparaketa horrek kontsultatutako izen baten eta tunel baten arteko lotura sinesgarria sortzen du, eta hori bi erregistroren arteko lotura izaten jarraitzen du, pertsona baten erregistroa izan beharrean.
DNS zifratuak garraioa aldatzen du, ez amaierako puntuko ikusgaitasuna. Ebazleak erantzuten duen galdera jasotzen jarraitzen du, RFC 8484 argi uzten duen bezala, eta ebazle horretan atxikitzea politika-erabakia da, ez protokoloaren propietatea.
Non DNS zatituak eta cacheek istorioa nahasten duten
Ebazle bat baino gehiago arrunta da. DNS zatituaren diseinu batek barne-izenak barne-zerbitzari batera bidaltzen ditu eta gainerako guztia publiko batera, beraz ikerketa bakar batek inoiz konbinatzeko pentsatu ez ziren bi erregistro eta inoiz konparatzeko pentsatu ez ziren bi atxikipen-ezarpen har ditzake. Bietan kontsultak ikustea diseinua funtzionatzen ari delako froga da, ez ihes baten froga.
Cacheek beste norabidean mozten dute. Izen ezagun bati cachetik orduak eman dakioke erantzuna, beraz ebazlearen erregistroak lehen kontsulta erakusten du eta gero ezer ez, erabiltzailearen aplikazioak izen bera pozik ebazten jarraitzen duen bitartean. Denbora jakin baten ondoren sarrerarik ez egoteak ez du esan nahi inork izena denbora horren ondoren erabili ez zuenik.
Atzeko trafikoa da hirugarren distortsioa. Abioan telemetria-izen bat ebazten duen telefonoa, bilaketa-iradokizun domeinu bat ebazten duen nabigatzailea eta orduro konektatzen den eguneratzaile bat guztiak ebazle-erregistroan agertzen dira benetan axola zaizun izenaren ondoan. Erregistro horretako bolumena ez da arreta, eta kontsultak zenbatzea ez da bisitak zenbatzea. Ebazle-erregistroa galderen erregistroa da, eta galderak merkeak dira sortzen.
Egin atxikipen-galderak bereizita
Sistema bakoitzerako, egin hiru galdera: nork biltzen du, zer biltzen da eta zenbat denboraz gordetzen da. Gero galdetu nork irakur dezakeen eta zein prozesurekin. RFC 8484k DNS over HTTPS-i buruz egiten duen eztabaida gogorarazpen ona da garraio zifratuak ez duela amaierako puntua kentzen, eta operadorearen beraren dokumentazioa da amaierako puntu horrek zer gordetzen duenari buruzko adierazpen fidagarri bakarra.
«VPNari» buruz pribatutasun-baieztapen bat egiten denean, zatitu osagaietan onartu aurretik: tunelaren operadorea, tunelak banatzen duen ebazlea, kontsulta horiek iristen diren edozein goiko ebazle, eta gailuko aplikazioak. Bakoitzak bere erantzuna du, eta bati dagokion baieztapen zehatza laurak estaliko balitu bezala errepikatzen da ohituran.
Arazoak konpontzeko, erabili banaketa bera. Galdetu zein aplikaziok egin zuen kontsulta eta zein ebazlek erantzun zion, gero begiratu gertaera horren jabe den erregistroari. Beste erregistrotik asmatzeak minutu bat aurreztu eta arratsalde bat kostatzen du.