Zure VPNaren DNSa benetan erabiltzen al da? Portu 53 harrapatu eta ikusi

Galdetu gehiengoari VPN bezero batek DNSarekin zer egiten duen eta resolutzailea konfiguratzen duela esango dute, beraz kontsultak tuneletik barrura bidaiatzen dute. Bultzatzea erreala da; kontsulta bihurtzen denaren ustea ez. Bultzatutako aukera baten eta kablean dagoen pakete baten artean hiru etapa daude, eta bakoitzak modu independentean egiten du huts, denak DNS zerbitzari hautsia bezala agertzen diren moduetan. Horregatik leak-proba orri batek eta funtzionatzen duen nabigatzaile batek desadostasunak izan ditzakete makina berari buruz une berean.

Bultzatutako aukera bat ez da kontsulta bat

Lehen etapa zerbitzariak ezarpenak eskaintzea da, adibidez tunelean barruko resolutzaile bat adierazten duen bultzatutako DNS aukera bat. Bigarren etapa bezeroak ezarpen horiek interfaze batera aplikatzea da. Hirugarren etapa aplikazio batek benetan kontsulta bat helbide horretara bidaltzea da. Bigarren etapan huts egiteak aukera konexio-erregistroan ikusgai uzten du resolutzaileen zerrenda aldatu gabe, eta hirugarren etapan huts egiteak erabat zuzena den resolutzaileen zerrenda erabili gabe uzten du.

Arazoak konpontzeko lan gehienek hiru horiek bat egiten ditu eta VPN zerbitzaria errukitzen du, normalean bere zatia egin zuela frogatu dezakeen alde bakarra baita. Irakurri, horren ordez, bezeroaren resolutzailearen benetako egoera, eta gero behatu kontsulta bat irteten. Bi behaketa horiek konfigurazioa bideratzeetatik eta politikatik bereizten dute, eta bost minutu inguru kostatzen dute. Gorde kapturak, hurrengo ingeniariak aurretik eta ondoren nahi baititu, haien deskribapena ez.

Egiaztatu zer daukan interfazeak benetan

Linuxen sistemaren resolutzailea fitxategi soila, NetworkManager edo systemd-resolved izan daiteke, eta horietako zeinek duen jabetza erabakitzen du non lurreratzen den bultzatutako zerbitzari bat. Komando-lerroko OpenVPN prozesu batek ez du sistemaren resolutzailea bere kabuz eguneratzen, beraz dokumentatutako integrazioa up/down script bat edo ezarpenak aplikatzen dakien konexio-kudeatzaile bat da. Biak exekutatzea lasterketa bat sortzeko modu eraginkorra da.

resolvectl status
cat /etc/resolv.conf

Windowsen zerrenda egokigailu bakoitzekoa da, beraz tunelaren egokigailuak barne zerbitzariak eduki ditzake egokigailu fisikoak lokalak mantentzen dituen bitartean eta izen batzuetarako irabazten du. Konparatu bi egokigailuak, aktiboa dela suposatzen duzunaren ordez.

Jarraitu kontsulta bat makinetik kanpora

Harrapatu bi interfazeak aldi berean, eta gero ebatzi barne resolutzailea erabili beharko lukeen izen bat. Kaptura pare horrek konfigurazio-irteerak erantzun ezin duena erantzuten du.

sudo tcpdump -ni tun0 port 53
sudo tcpdump -ni any port 53

Interfaze fisikoan agertu eta tunelean inoiz agertzen ez den kontsulta batek bezeroak resolutzaile okerra aukeratu zuela esan nahi du. Bi horietan agertzen ez den kontsulta batek aplikazioak cachetik erantzun zuela, loopbacken entzuten duen stub bati galdetu ziola edo resolutzaile zifratu bat erabili zuela esan nahi du, zeinaren trafikoa ez baita inoiz portu 53 gisa agertzen. Harrapatu erantzunak ere, kontsultak ez ezik, tuneletik irteten den eta helbide publikoko erantzuna jasotzen duen kontsulta bat beste hutsegite bat baita erantzunik iristen ez denekoaren aldean.

Bere DNS propioa soilik onartzen duen suebakia

Bezero komertzialek batzuetan beren iragazki-kateak instalatzen dituzte. Dokumentatutako eredu batek bezeroaren resolutzaile propioari DNSa baimentzen dio eta loopback ez den interfaze batetik irten nahi duen gainerako UDP portu 53 trafiko guztia botatzen du, erabiltzaileak nahita beste nonbait bideratutako trafikoa barne. Demonioaren kontsultak arrastorik gabe desagertzen dira, eta hori resolutzailearen hutsegite gisa irakurtzen da, iragazki gisa ez.

sudo iptables -S OUTPUT
sudo iptables -S | grep -i -E 'dns|53'

Baztertzeko arau bat zure salbuespenaren aurretik ebaluatzen bada, amaieran gehitutako arau bat ez da inoiz iristen, beraz sartu lehen posizioan eta mugatu helmuga benetan nahi duzun resolutzailera.

sudo iptables -I OUTPUT 1 -p udp --dport 53 -d 172.20.8.1 -j ACCEPT

Salbuespen hori diagnostikoa da, ez politika. Hornitzailearen araua nahita egindakoa bada, onartutako konponketa bezeroa resolutzaile hori baimentzeko konfiguratzea eta erabakia erregistratzea da, sartutako arau batek ez baitu hurrengo bezero-eguneratzea gaindituko.

Zergatik frogatzen duen leak orri batek itxuraz baino gutxiago

Leak-proba orri batek erakusten duena probaren operadorearekin hitz egin zuen resolutzailea da, zure makinak kontsultatu zuena ez. Kanporantz errekurtsioa egiten duen birbidaltzaile lokal batek bere irteerako helbidea jartzen du orri horretan, eta kontsulta zifratuek orria erabat hutsik utz dezakete. Bi emaitzak gaizki irakurtzen dira, bat leak gisa eta bestea berme gisa, eta bi irakurketetatik bat ere ez da behaketatik ondorioztatzen.

Defenda daitekeen froga kaptura da: interfazea, helburuko helbidea, erantzuna eta denbora-marka. Hartu bat tunela altxatu aurretik eta beste bat ondoren, eta konparatu hurrengoan izen batek huts egiten duenean. Pare horrek hurrengo pertsonari esaten dio hutsegitea ebazpenean, bideratzean edo resolutzailearen beraren sarbide-politikan izan zen.